Nach Thurgauer KB und Myspace: Swisslos mit „unsicherer“ Website

Vor rund zwei Wochen wurde auf dem Blog Blog.benbit.ch aufgezeigt, dass einige Schweizer Banken ein Sicherheitsproblem mit ihren Webseiten haben respektive hatten. Nun hat der Blogger Bloggingtom bei Swisslos die gleiche Lücke entdeckt. Auch dort lassen sich per I-frame fremde Webseiten in das Layout von Swisslos.ch und Swisslotto.ch einschleusen und beliebig Javascript ausführen.
Der Blogger des Blogs Blog.benbit.ch fordert die Webmaster nun dazu auf, die sogenannten XSS-Lecks (Cross Site Scripting) endlich ernst zu nehmen. Damit wird ein Vorgehen bezeichnet, bei dem Informationen aus einem Bereich, der als nicht vertrauenswürdig eingestuft wird, in einen Bereich kopiert werden, der als vertrauenswürdig gilt.
Die von den Blog-Betreibern gefundenen Sicherheitslöcher seien jedoch nuanciert zu betrachten, meint Jürg Stuker, CEO des Webdiensleisters Namics. Bei den aufgedeckten Sicherheitslöchern seien nicht alle Bedingungen für ein echtes Cross Site Scripting erfüllt. Zwar liessen sich andere Inhalte bei den Sites einbinden, das Javascript wurde aber auf den eingebundenen Sites und nicht auf der eigentlichen Website ausgeführt. Es liess sich kein Javascript auf dem Zielsystem speichern. Er räumt aber ein, dass es sich bei den gefundenen Löchern um unschöne Programmierfehler handelt, die zu schliessen sind. Sicherheitsrelevant müssten diese aber nicht unbedingt sein.
Nach Ansicht von Bloggingtom liesse sich auf Basis der gefundenen Lücken aber durchaus Phishing betreiben. Etwa in dem man den User über eine gefälschte Gewinnbenachrichtigung auf eine präparierte Site lenkt und ihm dort auf dem eingschleusten Formular zur Eingabe von Konto- und Pin-Nummer, zur Überweisung des fiktiven Gewinnbetrags, auffordert.