Microsoft_Logo

Microsoft hat eine kritische Sicherheitslücke geschlossen, die es erlaubte, Login-Tokens zu stehlen und wiederzuverwenden, um sich auch ohne Anmeldedaten Zugang zu Microsoft-Konten zu verschaffen. Entdeckt wurde die Schwachstelle vom britischen Sicherheitsforscher Jack Whitton. Ihm zufolge hat Microsoft den Fehler innerhalb von 48 Stunden behoben.

Demnach erfolgt die Anmeldung für einen Microsoft-Dienst wie beispielsweise Outlook.com über einen Login-Token, wenn der Nutzer schon bei einem anderen Dienst wie beispielsweise OneDrive.com angemeldet ist.

Diese Tokens ließen sich jedoch über Phishing-Websites ausspähen, um „vollständigen Zugriff auf das Konto eines Nutzers zu erhalten“, schreibt Whitton. Bei der Anmeldung für einen Microsoft-Dienst werde über den Wert „reply“ eine POST-Anfrage an die jeweilige Domain des Diensts geschickt, zusammen mit dem Login-Token für den jeweiligen Nutzer. Der Token werde dann vom Anmeldeprozess verarbeitet. Cookies kämen nicht zum Einsatz, da Microsoft seine Services auf unterschiedlichen Domains hoste.