Millionen von Menschen gefährdet: Sicherheitslücke in beliebtem Reisedienst behoben
Posted by:
Johannes Weber
Ein beliebter Reisedienst, der in viele Fluggesellschaften integriert ist, hatte eine Sicherheitslücke, die ausgenutzt werden konnte, um sich in die Konten von Menschen einzuloggen und deren Buchungen zu ändern. Dies wurde in einem Bericht der API-Sicherheitsfirma Salt Labs behauptet und mittlerweile gemeldet und behoben.
Die Sicherheitslücke ermöglichte es bösartigen Akteuren, die Kontrolle über das Konto beliebiger Nutzer zu übernehmen, Hotelzimmer zu buchen, Autos zu mieten und Buchungsinformationen zu ändern. Da der Dienst in „Dutzende“ von kommerziellen Fluglinien-Online-Services integriert ist, konnten Angreifer auch Flugmeilen und mehr missbrauchen. Salt Labs warnte davor, dass Millionen von Menschen gefährdet sein könnten, nannte aber den Namen des betroffenen Dienstes nicht.
Der theoretische Angriff funktionierte, indem der Angreifer einen individualisierten Link erstellte und ihn mit dem Opfer teilte. Das Opfer würde darauf klicken, zum Mietdienstleister geleitet werden, sich mit den Anmeldeinformationen des Flugdienstleisters anmelden und dann über OAuth auf der Website der Fluggesellschaft eingeloggt werden. Dies ermöglichte es den Angreifern, über den manipulierten Link Zugriff auf das Konto zu erhalten.
Salt Labs informierte den betroffenen Dienst über die Sicherheitslücke, die daraufhin behoben wurde.
Recent Posts1
