Sicherheitsloch: Funktion Auto-Ausfüllen von Safari gibt Anwenderdaten preis

Eine präparierte Webseite kann unsichtbar Datenfelder abfragen und ausfüllen lassen. Apple arbeitet nach einem Monat ohne Reaktion jetzt an einem Fix. Anwender sollten das Feature unbedingt ausschalten. Die iOS-Version ist nicht betroffen.

Logo von Apple Safari

Die Option Auto-Ausfüllen von Safari kann unerwünscht persönliche Daten des Anwenders offenlegen, berichtete ein Sicherheitsforscher. Chrome ist Google zufolge nicht betroffen, obwohl dieser Browser ebenfalls auf WebKit basiert. Safari-Nutzer sollten das Feature bis zur Veröffentlichung eines Patches abstellen.

Die Sicherheitslücke hatte Jeremiah Grossman, der CTO von WhiteHat Security, in einem Blog gemeldet. Ihm zufolge ist sowohl der aktuelle Safari 5 als auch die Vorgängerversion Safari 4 betroffen. Er berichtet, dass eine in böser Absicht erstellte Webseite auf Informationen des Anwenders zugreifen kann, ohne dass dieser auf der Webseite selbst aktiv wird – und auch beim ersten Besuch einer solchen Seite.

Dazu müsste die Seite nur dynamische Formularfelder mit üblichen Namen wie „address“ oder „credit card“ enthalten und per JavaScript Tastatureingaben simulieren. Safari würde den Rest von selbst ausfüllen. Das funktioniert auch, ohne dass die Formularfelder für den Besucher der Seite überhaupt sichtbar sind. Chrome umgeht das Problem Google zufolge übrigens, indem es eine zusätzliche Nutzerbestätigung verlangt, die sich per JavaScript nicht nachahmen lässt.

Grossman hat Apple nach eigener Auskunft am 17. Juni auf das Problem aufmerksam gemacht, aber nur eine Standardantwort erhalten. Nach der Veröffentlichung teilte das Unternehmen mit, es arbeite an einem Patch für die Lücke.

Möglicherweise ist die Lücke gar nicht neu: In einem Blogeintrag vom April 2009 hatte der Schweizer Sicherheitsforscher Patrice Neff ein verblüffend ähnliches Leck gemeldet: Safari verrate jedem den Geburtstag des Anwenders, ohne dass dieser zustimmen müsse, schrieb Neff.

Safari unter iOS, also die mobile Variante, und der auf WebKit basierende Browser von Android scheinen wie Chrome nicht betroffen zu sein. Eine Bestätigung oder Erklärung dazu steht noch aus.

Themenseiten: Apple, Browser, Safari

Fanden Sie diesen Artikel nützlich?
Content Loading ...
Whitepaper

ZDNet für mobile Geräte
ZDNet-App für Android herunterladen Lesen Sie ZDNet-Artikel in Google Currents ZDNet-App für iOS

Artikel empfehlen:

Neueste Kommentare 

Noch keine Kommentare zu Sicherheitsloch: Funktion Auto-Ausfüllen von Safari gibt Anwenderdaten preis

Kommentar hinzufügen

Schreibe einen Kommentar

Deine E-Mail-Adresse wird nicht veröffentlicht. Erforderliche Felder sind markiert *