LONDON (IT BOLTWISE) – Opera GX schließt eine kritische Lücke, die durch das automatische Installieren von GX-Mods ohne Nutzerfreigabe sensible Daten abziehen kann. In einem Proof of Concept rekonstruierten Forschende aus nur einem Seitenbesuch die vollständige Gmail-Adresse des angemeldeten Nutzers. Der Fix ist mit Opera GX 130.0.5847.89 ausgeliefert, ein CVE wurde nicht vergeben. Besonders brisant: Die Exfiltration nutzt CSS-Techniken, die über mehrere Webseiten hinweg funktionieren können.
Opera GX, der auf Gaming-Optik getrimmte Zweig des Opera-Browsers, hat nach neuen Forschungsergebnissen eine Sicherheitslücke mit Top-Schweregrad gepatcht. Kernproblem ist nicht ein klassisches „Add-on ausführen“-Szenario, sondern die Art, wie GX-„Mods“ installiert werden: Ein bösartiger Seitenaufruf kann eine Mod-Datei im Hintergrund nachladen und aktivieren, ohne dass der Nutzer aktiv zustimmt. Damit entsteht eine Angriffsfläche, die im Alltag wie ein harmloser Look-and-feel-Mechanismus wirkt, aber in der Praxis Daten aus den Seiten extrahieren kann, die der Betroffene im Anschluss besucht.
Technisch lohnt sich der Blick auf das Mod-Ökosystem. GX-Mods werden als .crx-Artefakte ausgeliefert, also im Dateiformat ähnlich wie Browser-Erweiterungen. Der entscheidende Unterschied: Diese Mods dürfen nicht per JavaScript „arbeiten“ und enthalten keine typischen Berechtigungen. Stattdessen liefern sie CSS-Regeln, etwa für Soundeffekte, Themes, Hintergründe und vor allem die CSS-Anpassung der besuchten Seiten. Die Schwachstelle steckt in der Installationspipeline: Opera GX lädt und aktiviert eine Mod automatisch, ohne eine Genehmigungsabfrage. In der Praxis kann eine Webseite beispielsweise eine versteckte iFrame-Quelle nutzen, die auf eine.crx zeigt, wodurch die Mod im Sekundenfenster „landet“.
Die Exfiltration selbst ist der zweite, deutlich subtilere Teil. Forschende beschreiben das Muster als „universelles CSS-Injection“-Angriff: Normalerweise bleibt CSS-Injection auf den konkreten Seitenkontext begrenzt, auf dem sie injiziert wurde. Hier jedoch übernimmt die Mod die CSS-Regeln und ihre Wirkung wandert mit – sie wird beim Rendern nach dem Redirect auf nachgelagerte Seiten erneut relevant. CSS kann nicht direkt willkürlich HTTP-Requests auslösen und keine Daten „lesen und senden“, aber es kann ein XS-Leak ausnutzen: Über Attributselektoren lässt sich konditional steuern, ob ein bestimmtes Elementwertmuster mit einem Zielmuster beginnt. Abhängig davon feuert dann ein Request (z. B. Über ein Hintergrundbild), sodass sich Informationen Zeichen für Zeichen rekonstruieren lassen.
Als Proof of Concept zielten die Forschenden auf eine Google-Account-Seite (myaccount.google.com/contactemail), auf der die E-Mail-Adresse in HTML-Attributen eingebettet ist. Um die Adresse aus einem einzigen Besuch zu ermitteln, packten sie grob 150.000 CSS-Regeln in die Mod: Für jedes mögliche Drei-Buchstaben-Segment gibt es eine Selektor-Variante. Damit können sie prüfen, welche Segmente im Attributwert tatsächlich auftreten. In frühen Versuchen mit vier Buchstaben explodierte die Regelanzahl auf 5, 6 Millionen, die Browserdarstellung brach bei etwa 880 MB CSS-Masse zusammen. Die Forschenden reduzierten deshalb auf überlappende Dreier-Chunks, die sich anschließend mithilfe eines Rekonstruktionsskripts wieder zusammensetzen lassen.
Der Ablauf ist dabei besonders heikel, weil er nahezu keinen menschlichen Interaktionsbedarf hat. Die Opfer-Session landet auf einer Angriffsseite, die Mod wird binnen Sekunden automatisch installiert, und anschließend reicht bereits eine kurze JavaScript-Weiterleitung (im Angriffskontext), um auf die Google-Seite zu springen. Wichtig: Die CSS-Regeln sind beim Eintreffen der Zielseite bereits aktiv. Dadurch kann der XS-Leak-Prozess einsetzen, bevor der Nutzer überhaupt die Benachrichtigungsleiste unter der Adresszeile lesen oder auf „Remove“ klicken kann. Zwar klingt „nur Styling“ zunächst harmlos, aber die Reichweite über mehrere Navigationsschritte macht aus einem kosmetischen Mechanismus eine systematische Datenabflussmethode.
Auch wenn die Exfiltration „Gmail-Adresse“ als Demonstration zeigt, ist die eigentliche Risikoklasse breiter. Prinzipiell kann ein ähnliches Vorgehen weitere Werte abgreifen, die in Seitendaten in Attributen oder im DOM-Rendering auftauchen – etwa Nutzernamen oder andere identifiernde Strings. Zusätzlich dokumentieren die Forschenden einen zweiten, groberen Missbrauch der gleichen Installationsstrecke: Beim Laden einer.crx-Datei im privaten Modus (Incognito) kann der Browser abstürzen und geöffnete Tabs offenlegen. Da die angepasste Stelle bei der.crx-Installationspipeline ansetzt, betrifft das nicht nur Opera GX, sondern potenziell jeden Nutzer, der denselben Installationsweg in Opera-Varianten triggert, unabhängig vom „Gaming“-Theme.
Bei der Einordnung des „Warum jetzt?“ zeigt sich, wie nah Bug-Handling und Produktentscheidungen zusammenhängen. Die Forschenden erhielten laut Bericht eine P1-Einstufung (maximale Kritikalität) und den Höchstbetrag von 5.000 US-Dollar im Rahmen des Bug-Bounty-Programms. Auffällig ist, dass die Ersttriage zunächst zu einer niedrigeren P3-Einstufung tendierte, weil der Mechanismus zunächst wie „harmloses CSS-Design“ wirkte. Erst als der Angriff in anschaulicher Form reproduziert wurde, inklusive einer Demonstration der Rekonstruktion der eigenen Adresse, wurde der Schweregrad korrigiert. Opera selbst betont, man sei quite confident, dass keine Ausnutzung „in freier Wildbahn“ stattgefunden habe; ein CVE wurde nicht vergeben.
Für die Markt- und Compliance-Perspektive gilt: Browser-Erweiterungen und Add-ons sind heute ein zentrales Sicherheits- und Datenschutzrisiko, weil sie – je nach Modell – schon durch Designentscheidungen Privatsphäre berühren. Opera GX unterscheidet sich von typischen Erweiterungssystemen, aber die grundlegende Lehre ist die gleiche: Automatische Installationspfade ohne klare Nutzerfreigabe sind in der Sicherheitsarchitektur problematisch. Wettbewerber wie Chrome/Chromium mit dem Erweiterungsmodell oder Firefox setzen traditionell stark auf Consent- und Permission-Gates; der Angriff zeigt jedoch, dass auch „permissionless“ oder „JS-freie“ Pfade gefährlich werden können, wenn der Browser Kontext und Injection-Reichweite falsch behandelt. Regulativ betrachtet bedeutet das: Datenabflüsse in Bestands- oder Identitätsdaten (z. B. E-Mail-Adressen) sind unabhängig vom technischen Vektor ein DSGVO- und TOM-Thema, weil sie personenbezogene Daten betreffen.
Operativ ist die Empfehlung klar: Wer Opera GX in einem aktuellen Build nutzt, ist mit der Veröffentlichung von Version 130.0.5847.89 bereits geschützt; die Bestätigung erfolgt über „opera: //about“. Eine gezielte „Workaround“-Strategie existiert praktisch nicht, weil der Angriff ohne Klick oder Genehmigung funktionierte und nur durch Patchen der Auto-Installationspipeline zuverlässig abgebremst werden kann. Für Entwickler von Browser-Ökosystemen ist das ein Signal, dass Sicherheitsprüfungen bei CSS- und UI-Renderingpfaden weitergehen müssen als „kein JavaScript = sicher“. Die nächste Phase dürfte in strengeren Installations- und Isolationregeln liegen: weniger Kontextweitergabe, härtere Grenzen für CSS-Effekte über Redirects hinweg und klarere Benutzerkontrollen beim Aktivieren externer Artefakte.
💳 Amazon-Kreditkarte mit 2.000 Euro Limit bestellen!
🔥 Heutige Hot Deals bei Amazon: Bis zu 80% Rabatte!
🎉 Amazon Haul-Store für absolute Schnäppchenjäger!
- ★ 23-stufiges KI-Go-Training – Für Spieler mit Grundkenntnissen der Regeln – Entwickelt als intelligenter Trainingspartner passt sich die KI Spielern von 18K bis 9D an. Ideal für alle, die die Grundregeln bereits beherrschen und ihr Spiel verbessern möchten.
- IHR EMOTIONALER AI-BEGLEITER: Eiliko ist mehr als nur ein Anhänger, es ist ein charismatischer KI-Freund. Mit einem dynamischen LED-Bildschirm, der eine Vielzahl von animierten Gesichtern und Ausdrucksformen anzeigt, reagiert er auf Ihre Interaktionen mit einzigartiger Persönlichkeit und Charme.
- 【MEHR LEBEN FÜR DEINEN SCHREIBTISCH】 Lerne Eilik kennen – deinen kleinen Roboter-Freund mit Persönlichkeit. Mit liebevollen Animationen, ausdrucksstarken Reaktionen und spielerischen Interaktionen bringt Eilik mehr Freude in deinen Alltag. Ob auf dem Schreibtisch, im Büro oder am Nachttisch – Eilik wird schnell zu einem vertrauten Begleiter für besondere Momente.
- 【XL-Größe für gedeihende Pflanzen】Geben Sie Ihren Pflanzen den Raum, den sie verdienen! Unser verbessertes, großes 13,7 cm großes Design bietet Platz für Pflanzen mit einem Durchmesser von bis zu 8,9 cm und damit deutlich mehr Platz für Wurzelwachstum und Pflanzengesundheit im Vergleich zu kleineren, veralteten Modellen. Die Produktabmessungen betragen 13,6 x 13,6 x 13,2 cm und das Gerät wiegt nur 355 g.
- V28 Update - JETZT MIT NEUEN FUNKTIONEN! Als Reaktion auf das Ladeproblem von Loona haben wir das automatische Aufladen 2.0 verbessert. Diese Optimierung hilft Loona, die Ladewege in verschiedenen Szenarien zu erkennen und anzupassen, um die Erfolgsquote beim automatischen Aufladen zu erhöhen. Mobile Hotspots können sich mit Loona verbinden und überwinden WLAN-Einschränkungen, sodass Sie jederzeit und überall mit Loona interagieren können.
- Die besten Bücher rund um KI & Robotik!
- Die besten KI-News kostenlos per eMail erhalten!
- Zur Startseite von IT BOLTWISE® für aktuelle KI-News!
- IT BOLTWISE® kostenlos auf Patreon unterstützen!
- Aktuelle KI-Jobs auf StepStone finden und bewerben!
- Künstliche Intelligenz: Dem Menschen überlegen – wie KI uns rettet und bedroht | Der Neurowissenschaftler, Psychiater und SPIEGEL-Bestsellerautor von »Digitale Demenz«
Du hast einen wertvollen Beitrag oder Kommentar zum Artikel "Opera GX: Kritische Schwachstelle installiert Mods still und exfiltriert Daten über XS-Leaks" für unsere Leser?
#Sophos
#AmazonPrime
#Bestseller
Es werden alle Kommentare moderiert!
Für eine offene Diskussion behalten wir uns vor, jeden Kommentar zu löschen, der nicht direkt auf das Thema abzielt oder nur den Zweck hat, Leser oder Autoren herabzuwürdigen.
Wir möchten, dass respektvoll miteinander kommuniziert wird, so als ob die Diskussion mit real anwesenden Personen geführt wird. Dies machen wir für den Großteil unserer Leser, der sachlich und konstruktiv über ein Thema sprechen möchte.
Du willst nichts verpassen?
Du möchtest über ähnliche News und Beiträge wie "Opera GX: Kritische Schwachstelle installiert Mods still und exfiltriert Daten über XS-Leaks" informiert werden? Neben der E-Mail-Benachrichtigung habt ihr auch die Möglichkeit, den Feed dieses Beitrags zu abonnieren. Wer natürlich alles lesen möchte, der sollte den RSS-Hauptfeed oder IT BOLTWISE® bei Google News wie auch bei Bing News abonnieren.
Nutze die Google-Suchmaschine für eine weitere Themenrecherche: »Opera GX: Kritische Schwachstelle installiert Mods still und exfiltriert Daten über XS-Leaks« bei Google Deutschland suchen, bei Bing oder Google News!