LONDON (IT BOLTWISE) – Neue Forschung zeigt, wie sich Schwächen in HTML- und CSS-Sanitizern in Webmail ausnutzen lassen, um Tokens aus Login-Links zu rekonstruieren und in einzelnen Fällen Passwörter abzugreifen. Dabei spielt das Zusammenspiel aus CSS-Parsing, CSSOM und Browser-Rendering eine zentrale Rolle. Besonders kritisch sind Angriffe, die eine „vertrauenswürdige“ UI-Verarbeitung missbrauchen oder über CSS selektive externe Anfragen erzwingen. Für Anbieter und Nutzer rücken dadurch CSS-Allow-Lists, isolierte Render-Pipelines und phishingresistente Multi-Faktor-Authentifizierung stärker in den Fokus.
Webmail wirkt für viele Nutzer wie eine robuste „App in der Browser-Ansicht“: HTML wird beim Versand geprüft, CSS soll nur das Layout bestimmen – und genau an dieser Annahme setzen die neuen „CSS-Bomb“-Angriffe an. In der veröffentlichten Analyse beschreibt Security-Forscher Gareth Heyes Techniken, mit denen Angreifer über manipuliertes HTML und CSS die Benutzeroberfläche täuschen, Authentifizierungsdaten auslesen oder in bestimmten Demonstrationen sogar Passwörter erfassen. Der Kern ist weniger ein einzelner Bug als das Betriebssystem dahinter: Ein Webmail-Dienst muss HTML eines Senders anzeigen, ohne die Mailbox-Anwendung selbst zu kompromittieren. Dazu werden Inhalte typischerweise „gesäubert“ (sanitized), aber zwischen dem, was der Sanitizer erlaubt, und dem, was ein Browser am Ende rendert, kann eine Lücke entstehen.
Technisch betrachtet liegt die Schwachstelle im Zusammenspiel von CSS-Sanitization und CSS-Rendering. Heyes stellt heraus, dass Diskrepanzen zwischen der Interpretation von CSS durch ein Sanitizer-Modell und dem tatsächlichen Rendering im Browser exploitable Situationen schaffen können. Zusätzlich geraten Systeme unter Druck, die „browser-parsed CSS“ über das CSS Object Model (CSSOM) weiterverarbeiten: Wenn Eingaben, die als sicher eingestuft wurden, sich in eine für den Browser unsafe Syntax umformen lassen, verschiebt sich das Bedrohungsmodell vom reinen Filter auf die nachgelagerte Umwandlung. Das ist für Sicherheitsarchitektur-Teams relevant, weil CSS in Webmail nicht nur statisch „angezeigt“ wird, sondern häufig in einer dynamischen Pipeline landet, in der der Inhalt während der Laufzeit weiter angefasst wird – etwa zur Größenberechnung, zur Layout-Rekonstruktion oder zur Interpretation eingebetteter Selektoren.
Heyes hat mehrere Webmail-Dienste untersucht, darunter Outlook, Gmail, Fastmail, Yahoo Mail, Yahoo Mail, AOL Mail und Proton Mail. Die Wirkung der dokumentierten Schwächen variiert dabei je nach Dienst und Technik, und einige gemeldete Probleme seien nach der Offenlegung behoben worden. Gleichzeitig nennt Heyes auch Punkte, die zum Zeitpunkt der Veröffentlichung weiter bestanden: bei Outlook etwa ein UI-bezogenes Problem und bei Gmail eine Methode, die über CSS Remote Requests auslösen kann. Ein Angriffsklasse nutzt dabei CSS-Selektoren, um Fragmente sensibler Werte zu „testen“, die in Links oder Seitenelementen stecken. Wenn eine Übereinstimmung ein Hintergrundbild- oder Image-Request triggert, kann der Angreifer anhand der resultierenden HTTP-Anfragen Rückschlüsse auf Teile eines Tokens ziehen, weil jede erfolgreiche Auswahl eine Anfrage an einen externen Server verursacht. Das funktioniert besonders dann, wenn Token eine kurze Form haben und die Angriffsbedingungen diese Informationskanäle zulassen.
Eine zweite Variante knüpft nicht an das Anzeigen, sondern an den Entwurfsworkflow an: Wenn ein Opfer eine Mail im Webmail-Editor um einen „rich content“-Paste ergänzt, können fehlerhafte Paste-Handler als Einfallstor dienen. Heyes beschreibt für Yahoo Mail und AOL Mail eine Art Paste-handling Race Condition: In der Demo wird die Idee genutzt, dass ein Angreifer die Zwischenablage mit präpariertem Clipboard-Content bereitstellt und dadurch einen sensiblen Login-Token, der im Draft enthalten ist, sichtbar machen könnte. Noch stärker wirkt das Thema Privacy, wenn „Image-Proxies“ ins Spiel kommen: Diese Proxy-Mechanismen sollen typischerweise die IP-Adresse des Empfängers verschleiern und verhindern, dass Absender zuverlässig erkennen, wann eine Mail geöffnet wurde. Wenn CSS-Parsing- oder Sanitization-Fehler dennoch externe Requests erzeugen, werden genau diese Datenschutzvorteile unterlaufen, weil die Anfrage-Hinweise wieder nach außen durchdringen.
Besonders kritisch werden die Beispiele dort, wo Sanitizer-Schwächen auf vertrauenswürdiges Interface-Verhalten treffen. Bei Outlook beschreibt Heyes, dass „allowed labels“ potenziell über IDs mit Formular-Controls verknüpft werden könnten – und damit eine E-Mail nicht nur anzeigen, sondern UI-Aktionen im Client anstoßen könnte. Außerdem führt Heyes „CSS gadgets“ an: Dabei ergänzt Anwendungscode per JavaScript Elemente oder CSS-Verhaltensweisen, die im allowlist-Logikpfad des E-Mail-Sanitizers nicht vorgesehen waren. Für eine Mailbox-Architektur bedeutet das: Es reicht nicht, die statische HTML/CSS-Ausgabe zu filtern, wenn der Client nachgelagert zusätzliche DOM-Strukturen und Style-Regeln einbringt, die der Angreifer später über CSS-Selektoren ausnutzen kann. In einer weiteren Demonstration kombiniert Heyes diese Ideen mit einem CSS-gesteuerten Interaktionsmuster, das an ein „spoofed sign-in screen“ angelehnt ist, und zeigt, warum viele klassische „CSS Keylogger“-Konzepte scheitern: Eingaben verändern typischerweise den Live-DOM-Wert, nicht das HTML-Attribut, an dem ein zu naiver Proof-of-Concept seine Logik ausrichtet. Das funktionierende Beispiel greift daher gezielter in browsertypische Mechanismen selektierbarer Optionen ein und macht aus CSS-Interaktionen einen Kanal zur Credential-Erbeutung.
Für Anbieter leitet Heyes daraus klare Engineering-Prioritäten ab: Mail HTML und CSS sollten als potenziell feindselig behandelt werden, also mit strikten CSS-Allow-Lists, einer robusten URL-Verarbeitung sowie einer Isolation untrusted Inhalte von trusted Interfaces. Entscheidend ist zudem eine nachgelagerte Validierung der CSSOM-Ausgabe, bevor sie erneut verwendet oder mit UI-Komponenten verknüpft wird. Für Nutzer formuliert die Analyse praxisnahe Gegenmaßnahmen: Rich Content nicht aus unbekannten Quellen in Webmail-Entwürfe einfügen, bei unerwarteten Anmeldeaufforderungen innerhalb des Mailclients misstrauisch bleiben und vor allem phishingresistente Multi-Faktor-Authentifizierung (MFA) nutzen. In Summe zeigt die Veröffentlichung, dass „Sanitization“ im E-Mail-Kontext kein einmaliger Filter ist, sondern ein durchgängiger Prozess über mehrere Layer hinweg – vom CSS-Parser bis zur DOM-Interaktion. Gerade für Unternehmen mit eigener Webmail-Infrastruktur oder angepassten UI-Clients heißt das: Sicherheitsprüfungen müssen auch CSSOM-Übersetzungen und UI-Verknüpfungen in die Threat Model-Überlegungen aufnehmen.
💳 Amazon-Kreditkarte mit 2.000 Euro Limit bestellen!
🔥 Heutige Hot Deals bei Amazon: Bis zu 80% Rabatte!
🎉 Amazon Haul-Store für absolute Schnäppchenjäger!
- ★ 23-stufiges KI-Go-Training – Für Spieler mit Grundkenntnissen der Regeln – Entwickelt als intelligenter Trainingspartner passt sich die KI Spielern von 18K bis 9D an. Ideal für alle, die die Grundregeln bereits beherrschen und ihr Spiel verbessern möchten.
- IHR EMOTIONALER AI-BEGLEITER: Eiliko ist mehr als nur ein Anhänger, es ist ein charismatischer KI-Freund. Mit einem dynamischen LED-Bildschirm, der eine Vielzahl von animierten Gesichtern und Ausdrucksformen anzeigt, reagiert er auf Ihre Interaktionen mit einzigartiger Persönlichkeit und Charme.
- 【MEHR LEBEN FÜR DEINEN SCHREIBTISCH】 Lerne Eilik kennen – deinen kleinen Roboter-Freund mit Persönlichkeit. Mit liebevollen Animationen, ausdrucksstarken Reaktionen und spielerischen Interaktionen bringt Eilik mehr Freude in deinen Alltag. Ob auf dem Schreibtisch, im Büro oder am Nachttisch – Eilik wird schnell zu einem vertrauten Begleiter für besondere Momente.
- 【XL-Größe für gedeihende Pflanzen】Geben Sie Ihren Pflanzen den Raum, den sie verdienen! Unser verbessertes, großes 13,7 cm großes Design bietet Platz für Pflanzen mit einem Durchmesser von bis zu 8,9 cm und damit deutlich mehr Platz für Wurzelwachstum und Pflanzengesundheit im Vergleich zu kleineren, veralteten Modellen. Die Produktabmessungen betragen 13,6 x 13,6 x 13,2 cm und das Gerät wiegt nur 355 g.
- V28 Update - JETZT MIT NEUEN FUNKTIONEN! Als Reaktion auf das Ladeproblem von Loona haben wir das automatische Aufladen 2.0 verbessert. Diese Optimierung hilft Loona, die Ladewege in verschiedenen Szenarien zu erkennen und anzupassen, um die Erfolgsquote beim automatischen Aufladen zu erhöhen. Mobile Hotspots können sich mit Loona verbinden und überwinden WLAN-Einschränkungen, sodass Sie jederzeit und überall mit Loona interagieren können.
- Die besten Bücher rund um KI & Robotik!
- Die besten KI-News kostenlos per eMail erhalten!
- Zur Startseite von IT BOLTWISE® für aktuelle KI-News!
- IT BOLTWISE® kostenlos auf Patreon unterstützen!
- Aktuelle KI-Jobs auf StepStone finden und bewerben!
- Künstliche Intelligenz: Dem Menschen überlegen – wie KI uns rettet und bedroht | Der Neurowissenschaftler, Psychiater und SPIEGEL-Bestsellerautor von »Digitale Demenz«
Du hast einen wertvollen Beitrag oder Kommentar zum Artikel "CSS-Bomb-Angriffe: Neue Wege zum Token- und Passwortdiebstahl in Webmail" für unsere Leser?
#Sophos
#AmazonPrime
#Bestseller
Es werden alle Kommentare moderiert!
Für eine offene Diskussion behalten wir uns vor, jeden Kommentar zu löschen, der nicht direkt auf das Thema abzielt oder nur den Zweck hat, Leser oder Autoren herabzuwürdigen.
Wir möchten, dass respektvoll miteinander kommuniziert wird, so als ob die Diskussion mit real anwesenden Personen geführt wird. Dies machen wir für den Großteil unserer Leser, der sachlich und konstruktiv über ein Thema sprechen möchte.
Du willst nichts verpassen?
Du möchtest über ähnliche News und Beiträge wie "CSS-Bomb-Angriffe: Neue Wege zum Token- und Passwortdiebstahl in Webmail" informiert werden? Neben der E-Mail-Benachrichtigung habt ihr auch die Möglichkeit, den Feed dieses Beitrags zu abonnieren. Wer natürlich alles lesen möchte, der sollte den RSS-Hauptfeed oder IT BOLTWISE® bei Google News wie auch bei Bing News abonnieren.
Nutze die Google-Suchmaschine für eine weitere Themenrecherche: »CSS-Bomb-Angriffe: Neue Wege zum Token- und Passwortdiebstahl in Webmail« bei Google Deutschland suchen, bei Bing oder Google News!