In einem Blog berichtet der Sicherheitsexperte Matthew Bryant von seiner Entdeckung einer mittlerweile geschlossenen Sicherheitslücke beim Zertifikatsanbieter Comodo. Für Testzwecke kann dort kostenlos ein 30 Tage lang gültiges SSL-Zertifikat für die eigene Website ausgestellt werden.

Bryant fiel bei seiner Analyse des Bestell-Prozesses auf, dass er in einer Bestätigungs-(HTML-)E-Mail von Comodo einige von ihm eingegebene Daten ohne korrektes Escaping zurückbekam. HTML, das von ihm eingegeben wurde, wurde unverändert in die Bestätigungs-E-Mail übernommen. Da es sich dabei um eine HTML-E-Mail handelte, wurde diese vom empfangenden E-Mail-Client als HTML interpretiert.

So konnte er ein Angriffs-Szenario konstruieren und demonstrieren. Oben enthält die Bestätigungs-E-Mail den Firmennamen des Adressaten und weiter unten den Verifikationscode, den der Angreifer haben möchte. Er hätte die Formulardaten an seinen eigenen Server geliefert bekommen, indem er als Firmenname HTML-Code für ein Web-Formular eingab mit einem harmlos aussehenden Button "Click here to reject this request". Dabei ist im Formular nur ein öffnendes <textarea>-Tag, aber kein schließendes enthalten. So wäre der gesamte Rest der E-Mail, insbesondere der begehrte Verifikationscode, übermittelt worden und E-Mail-Clients stören sich nicht an kaputtem HTML und versuchen es zu interpretieren.

Mit dieser Technik hätte der Angriff so funktioniert, indem ein solches Zertifikat im Namen einer anzugreifenden Site bestellt werden würde. Die Bestätigungs-E-Mail geht an den Besitzer der Domain, der im WHOIS-Record verzeichnet ist. Der Empfänger bekommt so eine völlig echt aussehende E-Mail von Comodo zu einer Zertifikats-Anforderung, die er nicht getätigt hat. Sollte er dann auf den Button "Click here to reject this request" klicken, wird dem Angreifer genau das übermittelt, was er benötigt und könnte sich so mit den erhaltenen Daten bei Comodo einloggen, das Zertifikat herunterladen und für Man-in-the-middle-Lauschangriffe einsetzen.

Am 4. Juni hat Bryant Comodo über die Lücke informiert und mit der Veröffentlichung bis zu deren Schließung am 25. Juli gewartet. In seinem Blog-Beitrag "Keeping Positive – Obtaining Arbitrary Wildcard SSL Certificates from Comodo via Dangling Markup Injection" findet sich eine ausführlichere Schilderung.

(ts, hannover)

(siehe auch heise-News-Ticker:)

Hannover · EDV-Beratung · Linux · Novell · Microsoft · Seminar · IT-Consult · Netzwerk · LPIC · CLE