Cyber-Security-Forscher warnen vor Angriffen ReDos-Schwachstellen in JavaScript-basierten Webseiten

Über anfällige JavaScript-Software-Module lassen sich Webseiten mittels „Regular Expression Denial of Service“-Attacken gezielt einfrieren. Vor einem solchen Angriffsszenario warnen Wissenschaftler am Center for Research in Security and Privacy, CRISP, der TU Darmstadt.

Anbieter zum Thema

PresseBox - unn | UNITED NEWS NETWORK GmbH

Windhoff Group

Windhoff Group

Technische Universität Darmstadt

Als Leiter des Software Labs der Technischen Universität Darmstadt überprüft Professor Michael Pradel mit seinem Team die Internet-Auftritte von Unternehmen und untersucht Webseiten, die JavaScript‐basierte Module nutzen, auf potenzielle Schwachstellen. Jüngst sind Pradel und sein Mitarbeiter Christian-Alexandru Staicu dabei auf insgesamt 25 ReDos-Schwachstellen in JavaScript-basierten Server-Implementierungen gestoßen.

Bei einer ReDoS-Attacke lässt sich eine Webseite mit nur einer gezielten http-Anfrage sekunden- und minutenlang blockieren. Der Server im Hintergrund ist mit der Verarbeitung derart beschäftigt, dass er keine weiteren Anfragen beantworten kann. Die Wissenschaftler identifizierten rund 300 teils sehr populäre Webseiten, denen auf diese Weise beizukommen ist.

Auf diesem Weg könnten politisch motivierte Angreifer dafür sorgen, dass News zeitverzögert an die Öffentlichkeit gelangen, oder beispielsweise Betreibern von Online-Shops schaden, warnt Professor Pradel. Die Schwachstellen wurden zwischenzeitlich in die Node Security Plattform aufgenommen. Die Anbieter der Module wurden von den Darmstädter Wissenschaftlern ebenfalls informiert und auf die Sicherheitslücken hingewiesen. Dank Pradel und seinem Team sind die meisten Anfälligkeiten mittlerweile behoben.

Pradel und sein Team forschen für das Center for Research in Security and Privacy (CRISP) an sicheren Web-Anwendungen. Die Wissenschaftler entwickeln skalierbare Programmanalysen für JavaScript‐basierte Software, die Schwachstellen finden und aufdecken sollen. Eine neuartige Kombination von Analysen bei der Ausführung dieser Software und Verfahren zur Generierung von Interaktionssequenzen ermöglicht es, das Verhalten solch komplexer Internetanwendungen vollautomatisch zu analysieren und Sicherheitslücken aufzudecken.

(ID:45232108)