Browser leiden unter der Open-Roll-Schwachstelle

Wenn Sie nach einem genaueren Blick auf den Rick-Roll-Tweet, den wir zum Aprilscherz veröffentlicht haben, zu diesem Blogbeitrag gelangt sind … gute Arbeit! Falls nicht, sehen Sie sich den Link an, den wir getwittert haben und machen Sie bei dem Scherz mit.

„Klicken Sie niemals auf unerwartete Links!“ Haben Sie das schon einmal jemanden rufen hören? Praktisch jeder in der Tech-Branche begegnet zufälligen Links mit gesunder Skepsis – und das aus gutem Grund. Immer wieder kommt es bei Branchenführern infolge gezielter Kampagnen zu großen Datenlecks. Eine der zuverlässigsten Methoden, jemanden zu „phishen“ oder Zugangsdaten abzugreifen, ist der Missbrauch einer Open-Redirect-Schwachstelle auf einer vertrauenswürdig wirkenden Website, um die Opfer auf eine schädliche Website umzuleiten. Wir haben zwar nur den Diebstahl von Zugangsdaten erwähnt, doch Open-Redirect-Schwachstellen können auch die Tür zu ausgefeilteren Angriffen öffnen.

Was sind Open Redirects und wie funktionieren sie?

Die Grundform einer Open-Redirect-Schwachstelle ist einfach. Ein Angreifer erstellt eine URL für eine bekannte Website, z. B. www.snyk.io, und fügt dann einen Parameter, eine Abfragezeichenfolge oder einen Pfadbestandteil hinzu, der den Server beim Aufruf dazu bringt, die Anfrage (und den Client) an eine vermeintlich vorgesehene URL oder einen Endpunkt weiterzuleiten. Da dies die Grundlage jeder HTTP-Anfrage ist, entsteht die Schwachstelle, wenn der Server die URL, an die weitergeleitet werden soll, nicht überprüft und die Anfrage einfach blind weiterleitet. In einem solchen Szenario kann ein Angreifer einfach die gewünschte Ziel-URL auswählen und dem Opfer den schädlichen Link senden. Ein solcher Angriff erfolgt über eine URL wie [www.snyk.io?nextUR](http://www.snyk.io?nextURL=)L=//malicious.com. Wenn wir malicious.com so gestalten und programmieren, dass die Website genau wie www.snyk.io aussieht, wird ein ahnungsloses Opfer die beiden Websites kaum auseinanderhalten können und wahrscheinlich dem Angriff zum Opfer fallen.

Auch wenn die Auswirkungen eines Open Redirects technisch gesehen nicht besonders schwerwiegend erscheinen mögen, ist der Vertrauensverlust bei treuen Nutzern erheblich. Letztlich sind die Betroffenen Kunden eines Produkts. Verliert ein Produkt das Vertrauen seiner Kunden, verliert es irgendwann an Beliebtheit – Kunden wenden sich ab, und neue bleiben aus. Technisch gesehen mag die Schwachstelle also nicht schwerwiegend sein, doch für das Produkt und seine Integrität ist sie es und kann das gesamte Produkt beeinträchtigen.

Um noch mehr Kaffee in unsere „Alles in Ordnung“-Tasse zu gießen: Eine Open-Redirect-Schwachstelle lässt sich mit anderen Web-Schwachstellen wie XSS verketten. Das kann deutlich schwerwiegendere Folgen haben und eine kritische Bedrohung darstellen. Twitter erhielt beispielsweise im März 2018 einen Bericht über einen Open Redirect, der zu XSS führte. In dem Bericht stellte die forschende Person fest, dass sich durch Auslösen der Open-Redirect-Schwachstelle XSS ausführen ließ. In Kombination mit dem Open Redirect führte dies zu einer vollständigen Kompromittierung der domänenbezogenen Daten des Opfers, etwa Cookies und lokalem Speicher. Twitter belohnte die forschende Person für diesen Fund mit 1.120 US-Dollar.

Auch Server-Side Request Forgery (SSRF) kann einen Server leicht kompromittieren. Da Open-Redirect-Schwachstellen Angreifern helfen können, Filtermechanismen zu umgehen, passen diese beiden Schwachstellen zusammen wie Bier und ein Sportspiel – eine perfekte Kombination! Wenn ein Server bei Anfragen Nutzereingaben verarbeitet, ist das ein lohnendes Ziel für Angreifer. Sobald sie verstanden haben, wie der betreffende Endpunkt Nutzereingaben verarbeitet, brauchen sie nur noch etwas Kreativität und müssen verschiedene Möglichkeiten ausprobieren, bis sie einen gangbaren Weg zu SSRF finden. Entdecken sie einen Open Redirect, probieren sie den betreffenden URL-Parameter aus, um auf kritische interne Endpunkte oder Dienste zuzugreifen oder sogar externe schädliche Ressourcen aufzurufen!

Halten Sie Open Redirects aus Ihren Anwendungen heraus

Einige von Ihnen sind wahrscheinlich schon bereit, jetzt nach Open Redirects zu suchen! Beachten Sie zur Behebung dieser Probleme Folgendes: Validieren Sie alle Nutzereingaben, insbesondere wenn nutzergesteuerte Daten in der URL erscheinen. Aktivieren Sie starke Authentifizierungsmaßnahmen für Dienste, bei denen diese nicht standardmäßig aktiviert sind. Beschränken Sie mögliche Weiterleitungsziele mithilfe einer Zulassungsliste. Weitere Informationen zur Behebung dieser Probleme finden Sie in diesem OWASP-Cheat-Sheet.

Abschließend möchten wir Sie dringend bitten, Open-Redirect-Schwachstellen nicht zu unterschätzen, nur weil sie weniger technisch wirken. Ihre Auswirkungen auf Kunden und die daraus entstehenden Folgeschäden können erheblich sein. Open-Redirect-Schwachstellen ungelöst zu lassen, ist, als ließe man Türen und Fenster offen und hoffte, niemand würde ungebeten ins Haus kommen – das ergibt einfach keinen Sinn!