Eine populäre Browser-Erweiterung von Adobe, die weltweit auf rund 329 Millionen Rechnern installiert ist, hat offenbar monatelang ein gravierendes Sicherheitsproblem enthalten. Sicherheitsforscher der israelischen Firma Guardio entdeckten, dass sich über eine simple präparierte Webseite fremde WhatsApp-Web-Sitzungen auslesen ließen - und zwar ohne dass die Nutzerin oder der Nutzer irgendetwas anklicken, ein Passwort eingeben oder Schadsoftware installieren musste.

Betroffen war das Zusammenspiel der Adobe-Acrobat-Erweiterung für Chrome mit einer eingebauten Funktion namens „Hermes“, die WhatsApp Web in die PDF-Software integriert. Laut den Forschern reichte der bloße Besuch einer manipulierten Internetseite aus, damit diese Funktion im Hintergrund aktiviert wurde.

Möglich war das durch mehrere kleinere technische Schwachstellen, die zusammen eine Kette ergaben: Die Erweiterung prüfte nicht ausreichend, woher interne Nachrichten tatsächlich stammten, wodurch eine Webseite sich als vertrauenswürdiger Teil der Erweiterung ausgeben konnte. Darüber ließ sich eine versteckte Funktion einschalten, die anschließend Zugriff auf ein geöffnetes WhatsApp-Web-Fenster im selben Browser bekam.

Forscher nutzten Trick mit unsichtbarem Formular

Nach Angaben von Guardio konnten Angreifer auf diesem Weg das Erscheinungsbild von WhatsApp Web im Browser gezielt verändern und Inhalte der Seite umleiten. Am Ende gelang es den Forschern, den kompletten sichtbaren Inhalt eines geöffneten WhatsApp-Chats - also Kontaktnamen, Chatlisten, den Profilnamen sowie den Text der gerade offenen Unterhaltung - automatisch an einen von ihnen kontrollierten Server zu übertragen.

Dafür nutzten sie einen Trick mit einem unsichtbaren Formular, das die komplette WhatsApp-Seite quasi „an sich selbst schickte“. Wörtlich beschreiben sie das Vorgehen in einem Blog-Beitrag so: „Wir haben die Erweiterung nie gebeten, irgendetwas auszulesen. Wir haben WhatsApp gebeten, sich selbst an uns zu übermitteln - und genau das hat es getan.“

Nicht betroffen waren laut den Angaben Passwörter oder Sitzungscookies direkt; ein eigener Angriff auf WhatsApp selbst war nicht notwendig. Die Forscher weisen jedoch darauf hin, dass über diesen Weg theoretisch auch per WhatsApp verschickte Bestätigungscodes anderer Dienste eingesehen werden könnten, da diese im Chatverlauf sichtbar sind.

Adobe hat die Sicherheitslücke geschlossen

Guardio informierte Adobe direkt nach der Entdeckung. Der Konzern reagierte den Angaben zufolge außergewöhnlich schnell: Innerhalb desselben Wochenendes wurde die Lücke bestätigt und ein aktualisiertes, bereinigtes Update der Erweiterung veröffentlicht.

Kampf gegen Kinderpornografie

EU einig bei „Chatkontrolle“ – Scan-Erlaubnis kommt wieder

Merken

Merken

Wer die Adobe-Acrobat-Erweiterung in Chrome installiert hat, sollte laut den Sicherheitsforschern sicherstellen, dass die Erweiterung automatisch aktualisiert wird beziehungsweise bereits auf dem neuesten Stand ist - dann besteht laut Guardio kein Risiko mehr. Der Fall zeigt aus Sicht der Forscher vor allem eines: Auch scheinbar harmlose, weitverbreitete Erweiterungen können durch das Zusammenspiel kleiner, für sich genommen unauffälliger Schwachstellen zu einem ernsthaften Datenschutzproblem werden. (tsch)