Gefährliche Lücke in Google Mail

Wie Petko Petkov auf dem Gnucitizen-Blog erklärt, weist Google Mail eine problematische Sicherheitslücke auf. Ist man im Maildienst eingeloggt und besucht gleichzeitig eine andere Webseite, so kann diese mit einem entsprechenden Aufruf eigene Filter in den Maildienst einfügen. Beispielsweise lässt sich ein Filter definieren, der alle Mails an eine bestimmte E-Mail-Adresse weiterleitet.

Die Lücke ist aus zwei Gründen besonders gefährlich: Erstens geschieht die Manipulation an sich sehr unauffällig, und zweitens bemerkt der Benutzer auch danach sehr wahrscheinlich nicht sofort, dass etwas nicht stimmt. Dazu müsste er die Filtereinstellungen überprüfen, was man ja nicht alle Tage tut.

Diese Betrugstechnik wird als Cross Site Request Forgery (CSRF) oder als Session Riding bezeichnet. Eine fremde Webseite erhält dabei Zugriff auf ein Benutzerkonto, das in einer anderen Webseite geöffnet ist.