Eine neue Sicherheitslücke bei Googles E-Mail-Dienst ist bekannt geworden. Angreifer können E-Mails aus den Postfächern zu beliebigen E-Mail-Adressen weiterleiten.

Petko D. Petkov weißt in seinem Weblog darauf hin, dass es möglich sei, elektronische Nachrichten von Gmail aus zu beliebigen E-Mail-Adressen weiterzuleiten.

Wie immer muss der geschädigte und ausgenutzte Anwender zuerst einmal bestimmte Vorgänge durchführen, damit Angreifer aktiv werden können.

Im neuesten Fall versuchen die Hacker eigene präparierte Filtereinstellungen in ein Gmail-Konto zu schmuggeln. In diesen Filtereinstellungen ist hinterlegt, dass E-Mails zu einer bestimmten Adresse umgeleitet werden sollen.

Anwender muss aktiv werden, um Hacker herein zu lassen

Um diese Einstellungen auf das Konto eines ahnungslosen Anwenders zu bekommen, müssen die Hacker diesen Nutzer nur dazu bringen, eine entsprechend aufbereitete Internetseite zu besuchen.

Dabei muss der User gleichzeitig bei Google Mail angemeldet sein.

Die Sicherheitslücke nennt sich Cross-Site-Request-Forgery (CSRF). Sie ist auch als „Session Riding“ bekannt.

Die Filtereinstellungen, welche die Hacker einschleusen, lassen sich sowohl auf den Posteingang als auch auf den Postausgang anwenden.

Laut Petkov hat Google das Loch bisher nicht geschlossen. Er stuft das Leck als hoch gefährlich ein. Denn selbst dann, wenn Google den Durchlass geschlossen habe, blieben die bereits eingebrachten Filterfunktionen weiter aktiv.

Auf Gnu Citizen ist übrigens detailliert beschrieben, wie sich ein Gmail-Account "hijacken" lässt.