Sicherheitslücke: VPN-Service Hotspot Shield gibt Standorte von Nutzern preis

Ein Sicherheitsforscher hat eine Möglichkeit gefunden, Nutzer des VPN-Diensts Hotspot Shield zu identifizieren. Der kostenlose Dienst des Unternehmens AnchorFree, der weltweit schätzungsweise 500 Millionen Nutzer hat, soll eigentlich deren Anonymität und Privatsphäre gewährleisten. Ein Bug gibt jedoch persönliche Daten preis, wie das Land, in dem sich der Nutzer befindet, und den Namen seines WLAN-Netzwerks.

Diese Daten lassen sich mit öffentlich verfügbaren Informationen zu WLAN-Netzwerken abgleichen und erlauben es unter Umständen, den Standort eines Nutzers zu ermitteln. „Mit Informationen wie dem WLAN-Namen kann ein Angreifer leicht herausfinden, wo sich ein Opfer befindet“, schreibt der Forscher Paulos Yibelo, der den Fehler entdeckt hat. Zusammen mit dem Herkunftsland des Nutzers lasse sich die Liste der möglichen Standorte zumindest eingrenzen.

Der von Yibelo zur Verfügung gestellte Beispielcode offenbarte bei Tests von ZDNet USA auf mehreren unterschiedlichen Rechnern die Namen der jeweiligen WLAN-Netzwerke. Auslöser ist eine Schwachstelle im Web Server, den Hotspot Shield auf dem Rechner eines Nutzers installiert. Der Beispielcode, der nur wenige Zeilen umfasst, ruft die fraglichen Informationen aus einer JavaScript-Datei ab, die auf dem Web Server gehostet wird.

Für die Entwicklung seines Proof of Concept habe er nur wenige Sekunden benötigt, so der Forscher. Der Code lege derzeit die Informationen zwar nur gegenüber einem lokalen Nutzer offen. Es sei aber kein Problem, den Code so anzupassen, dass er von einer schädlichen Website aus ausgeführt werden könne, um von dort persönliche Daten des Opfers auszuspähen.

Unter besonderen Umständen sei er sogar in der Lage, IP-Adressen von Nutzern zu ermitteln – allerdings mit gemischten Ergebnissen. ZDNet USA konnte dies bei seinen Tests nicht nachvollziehen. AnchorFree, das von Yibelo über den Bug informiert wurde, bestreitet indes eine Offenlegung von IP-Adressen.

„Wir haben den Bericht des Forschers geprüft und getestet“, teilte Tim Tsoriev von AnchorFree mit. „Wir haben herausgefunden, dass die Anfälligkeit keine IP-Adressen von Nutzern oder irgendwelche persönlichen Daten preisgibt.“ Möglicherweise mache der Bug aber generische Informationen wie das Herkunftsland öffentlich. Noch in dieser Woche werde ein Update bereitgestellt, das die für das Datenleck verantwortliche Komponente vollständig entferne.

AnchorFree wusste dem Forscher zufolge bereits seit Dezember von dem Problem. Da das Unternehmen nie auf seine Meldung reagierte, veröffentlichte er am Montag die Details der Schwachstelle sowie den Beispielcode. Zuvor hatte er die Anfälligkeit im Rahmen eines Bug-Bounty-Programms dem Sicherheitsanbieter Beyond Security gemeldet, der ebenfalls keine Rückmeldung von AnchorFree erhielt.

Whitepaper

Studie zu Filesharing im Unternehmen: Kollaboration im sicheren und skalierbaren Umfeld

Im Rahmen der von techconsult im Auftrag von ownCloud und IBM durchgeführten Studie wurde das Filesharing in deutschen Unternehmen ab 500 Mitarbeitern im Kontext organisatorischer, technischer und sicherheitsrelevanter Aspekte untersucht, um gegenwärtige Zustände, Bedürfnisse und Optimierungspotentiale aufzuzeigen. Jetzt herunterladen!

[mit Material von Zack Whittaker, ZDNet.com]

Tipp: Wissen Sie alles über Edward Snowden und die NSA? Überprüfen Sie Ihr Wissen – mit 15 Fragen auf silicon.de.

Stefan Beiersmann

Stefan unterstützt seit 2006 als Freier Mitarbeiter die ZDNet-Redaktion. Wenn andere noch schlafen, sichtet er bereits die Nachrichtenlage, sodass die ersten News des Tages meistens von ihm stammen.

Recent Posts

Chinesische Hacker schieben Microsoft schädliche Azure Active Directory Apps unter

Sie setzen insgesamt 18 Anwendungen bis April 2020 für Angriffe auf nicht genannte Ziele ein.…

2 Tagen ago

Schlafende Tabs: Microsoft reduziert Stromverbrauch seines Browsers Edge

Tests zufolge sinkt die Speicherauslastung um durchschnittlich 26 Prozent. Die CPU-Nutzung geht um 29 Prozent…

2 Tagen ago

Apple behebt Fehler in macOS 10.15 Catalina und iOS 14

Unter iOS und iPadOS lassen sich Standardanwendungen für Browser und E-Mail nun dauerhaft einrichten. Auch…

3 Tagen ago

IAM-Lösung von Beta Systems bei der Thüringer Aufbaubank

Die Beta Systems Software AG setzt in einem IAM-Projekt bei der Thüringer Aufbaubank Rollenkonzepte mit…

3 Tagen ago

AgeLocker-Ransomware stiehlt Daten von QNAP-NAS-Geräten

Die Erpressersoftware ist seit rund einem Monat aktiv. Sie nutzt den Verschlüsselungsalgorithmus Actually Good Encryption.…

3 Tagen ago

Microsoft warnt vor aktiven Angriffen auf Zerologon-Lücke

Hacker nehmen Exploits für die Schwachstelle in ihr Waffenarsenal auf. Für US-Behörden wird der verfügbare…

3 Tagen ago