Ausgerechnet die Web-Seiten des wohl größten Online-Bezahldienstes wiesen bis vor wenigen Tagen an sehr zentraler Stelle eine Sicherheitslücke auf. Betrüger hätten sie ausnutzen können, um etwa dessen Kunden auszuspionieren. Kurz nach der Benachrichtigung durch heise Security beseitigte Paypal die Lücke. Zu weiteren Informationen etwa dazu, wie ein so gravierendes Sicherheitsproblem unbemerkt bleiben konnte, sah sich die eBay-Tochter jedoch außer Stande.
Einem Leser war aufgefallen, dass die Suche auf den Paypal-Seiten die Benutzereingaben nicht richtig filterte, und es somit ganz leicht möglich war, etwa über eine speziell präparierte URL Code in deren Web-Seiten einschleusen konnte. Dieses Problem betraf die SSL-gesicherten Seiten unter
Paypal wirbt sehr intensiv mit dem Thema Sicherheit und präsentiert unter anderem auch ein Zertifikat des TÜV Saarlands als "
Paypal selbst sah sich nicht im Stande eine unserer konkreten Fragen zu diesem Vorfall zu beantworten. Dass Cross Site Scripting Probleme (XSS) sehr weit verbreitet sind, ist kein Geheimnis. Auch auf den Web-Seiten von Banken finden sich immer wieder derartige Lücken. Erst letztes Jahr deckte ein Schüler
Quelle: heise.de
Einem Leser war aufgefallen, dass die Suche auf den Paypal-Seiten die Benutzereingaben nicht richtig filterte, und es somit ganz leicht möglich war, etwa über eine speziell präparierte URL Code in deren Web-Seiten einschleusen konnte. Dieses Problem betraf die SSL-gesicherten Seiten unter
Du musst dich
Anmelden
oder
Registrieren
um diesen link zusehen!
wo auch der Kunden-Login stattfindet und über die auch Bezahlvorgänge abgewickelt werden. Warum derartige Cross-Site-Scripting-Lücken ein echtes Sicherheitsproblem sind, erläutert der heisec-Artikel
Du musst dich
Anmelden
oder
Registrieren
um diesen link zusehen!
.Paypal wirbt sehr intensiv mit dem Thema Sicherheit und präsentiert unter anderem auch ein Zertifikat des TÜV Saarlands als "
Du musst dich
Anmelden
oder
Registrieren
um diesen link zusehen!
". Reinhold Scheffel, Geschäftsführer der prüfenden Firma tekit Consult weist zur Erklärung lediglich darauf hin, dass "zum Zeitpunkt der Prüfung der von [..] beschriebene Fehler nicht unbedingt schon vorhanden sein musste". Paypal selbst sah sich nicht im Stande eine unserer konkreten Fragen zu diesem Vorfall zu beantworten. Dass Cross Site Scripting Probleme (XSS) sehr weit verbreitet sind, ist kein Geheimnis. Auch auf den Web-Seiten von Banken finden sich immer wieder derartige Lücken. Erst letztes Jahr deckte ein Schüler
Du musst dich
Anmelden
oder
Registrieren
um diesen link zusehen!
derartige Sicherheitslücken auf. Dass jedoch ausgerechnet der Branchen-Primus in Sachen Online-Bezahlen an einer derart exponierten Stelle eine so einfach zu findende Lücke aufweist, erschüttert dann doch. (ju) Quelle: heise.de
Zuletzt bearbeitet:
DD :emoticon-0107-sweat
