Am 29. September erhielt ich eine Nachricht von einem, der professionell nach Sicherheitslücken sucht: auf Zenopia.de gäbe es eine XSS-Sicherheitslücke! Und tatsächlich, mit der Beschreibung konnte ich das Problem nachstellen. (Siehe: OBB-4663982 ) Inzwischen ist das Problem gelöst, die Lücke somit geschlossen und mir ein Stein vom Herzen gefallen.

Aber der Reihe nach. XSS ( Cross-Side-Scripting ) bedeutet, fremde Scripte auf einer Webseite einzuschmuggeln, die dann vom Browser ausgeführt werden. Im Normalfall kommen die Scripte von der Webseite selbst und sorgen dafür, dass die Webseite oder App genau das macht was sie soll. Da die Scripte von der Webseite selbst kommen, kann man darauf vertrauen, dass sie nichts böses tun. Mit dem XSS-Bug von Zenopia war es möglich einen besonderen Link (URL) zu erstellen mit der die Zenopia-Webseite einen Script ausführt der nicht vertrauenswürdig ist. (Die URL des Links sieht dann zwar ein wenig seltsam aus, aber wer überprüft schon einen Link bevor er darauf klickt?) Klickt man auf den Link wird zwar die Zenopia-Seite geladen, aber auch das fremde Script gestartet. Der fremde Script sorgt in dem meisten Fällen dafür, dass sie Zenopia-Webseite etwas kaputt aussieht aber vielleicht auch, dass Texte oder Bilder ausgetauscht werden. Beispielsweise könnte dort so etwas absurdes wie „die Erde ist eine Scheibe“ stehen.

Das Problem dabei ist, dass der Besucher, der auf den Link geklickt hat, denkt, Zenopia hätte diesen Blödsinn verzapft. Schließlich ist es die Zenopia-Webseite (was ja auch der URL zu entnehmen ist). Im besten Fall wird der Besucher davon ausgehen, dass es sich um einen Witz handelt. Vielleicht wird er aber auch ahnen, dass die Webseite gehackt wurde. Wie dem auch sei, ein erfolgreicher XSS-Angriff schadet immer der Reputation.

Aber zum Glück konnten wir diese Sicherheitslücke beheben bevor ein Schaden angerichtet wurde. Das war natürlich nur möglich weil wir den Hinweis dazu erhalten haben - an dieser Stelle möchte wir uns nochmal dafür bedanken. So bleibt die Erde auch weiterhin eine Kugel!