Mobile-Menu

Cyber-Security-Forscher warnen vor Angriffen ReDos-Schwachstellen in JavaScript-basierten Webseiten

Autor Stephan Augsten

Über anfällige JavaScript-Software-Module lassen sich Webseiten mittels „Regular Expression Denial of Service“-Attacken gezielt einfrieren. Vor einem solchen Angriffsszenario warnen Wissenschaftler am Center for Research in Security and Privacy, CRISP, der TU Darmstadt.

Anbieter zum Thema

Technische Universität Darmstadt
PresseBox - unn | UNITED NEWS NETWORK GmbH
OutSystems
Confluent Germany GmbH
JavaScript-Schwachstellen lassen Webseiten durch eine einzige Anfrage „einfrieren“ – andere Nutzer können nicht mehr zugreifen. Angreifer können so Webseiten gezielt abschalten.
JavaScript-Schwachstellen lassen Webseiten durch eine einzige Anfrage „einfrieren“ – andere Nutzer können nicht mehr zugreifen. Angreifer können so Webseiten gezielt abschalten.
(Bild: CRISP)

Als Leiter des Software Labs der Technischen Universität Darmstadt überprüft Professor Michael Pradel mit seinem Team die Internet-Auftritte von Unternehmen und untersucht Webseiten, die JavaScript‐basierte Module nutzen, auf potenzielle Schwachstellen. Jüngst sind Pradel und sein Mitarbeiter Christian-Alexandru Staicu dabei auf insgesamt 25 ReDos-Schwachstellen in JavaScript-basierten Server-Implementierungen gestoßen.

Bei einer ReDoS-Attacke lässt sich eine Webseite mit nur einer gezielten http-Anfrage sekunden- und minutenlang blockieren. Der Server im Hintergrund ist mit der Verarbeitung derart beschäftigt, dass er keine weiteren Anfragen beantworten kann. Die Wissenschaftler identifizierten rund 300 teils sehr populäre Webseiten, denen auf diese Weise beizukommen ist.

Auf diesem Weg könnten politisch motivierte Angreifer dafür sorgen, dass News zeitverzögert an die Öffentlichkeit gelangen, oder beispielsweise Betreibern von Online-Shops schaden, warnt Professor Pradel. Die Schwachstellen wurden zwischenzeitlich in die Node Security Plattform aufgenommen. Die Anbieter der Module wurden von den Darmstädter Wissenschaftlern ebenfalls informiert und auf die Sicherheitslücken hingewiesen. Dank Pradel und seinem Team sind die meisten Anfälligkeiten mittlerweile behoben.

Pradel und sein Team forschen für das Center for Research in Security and Privacy (CRISP) an sicheren Web-Anwendungen. Die Wissenschaftler entwickeln skalierbare Programmanalysen für JavaScript‐basierte Software, die Schwachstellen finden und aufdecken sollen. Eine neuartige Kombination von Analysen bei der Ausführung dieser Software und Verfahren zur Generierung von Interaktionssequenzen ermöglicht es, das Verhalten solch komplexer Internetanwendungen vollautomatisch zu analysieren und Sicherheitslücken aufzudecken.

Jetzt Newsletter abonnieren

Täglich die wichtigsten Infos zu Softwareentwicklung und DevOps

Mit Klick auf „Newsletter abonnieren“ erkläre ich mich mit der Verarbeitung und Nutzung meiner Daten gemäß Einwilligungserklärung (bitte aufklappen für Details) einverstanden und akzeptiere die Nutzungsbedingungen. Weitere Informationen finde ich in unserer Datenschutzerklärung.

Aufklappen für Details zu Ihrer Einwilligung

(ID:45232108)

Weiterführende Inhalte