Hackerangriff auf YouTube legt vor allem Justin Bieber Angebote lahm

Apps & Gadgets - 04.07.10 - JJ

Schwachstelle

Hackerangriff auf YouTube legt vor allem Justin Bieber Angebote lahm

Am heutigen Sonntag wurde YouTube Opfer eines Hackerangriffs. Wie Techie-Buzz berichtet, haben die Internet-Gruppen Ebaumsworld und 4chan einen seitenübergreifenden Angriff verursacht, der die Ausführung von Scripten von aussen erlaubte. Der Angriff wirkte sich unter anderem auf die Video-Kommentarfunktion von YouTube aus.

Betroffen waren verschiedene Musikvideos mit einem offenbar gewollten Schwerpunkt auf Videos des Teenieschwarms Justin Bieber.

wow. the YouTube hack just got DRAMATIC. on Twitpic

Die von den Hackern bei YouTube aufgedeckte Schwachstelle erlaubte es ihnen, normalen HTML-Code direkt in die Seite hineinzuprogrammieren, was von außen üblicherweise natürlich nicht möglich ist. Der Code wurde dann von der Site normal ausgeführt. Die Angreifer konnten auf diese Art unter anderem Popup-Nachrichten implementieren, die beim Aufblenden stolz verkündeten, dass diese Site gehackt wurde. Eine weitere Art des Angriffs bestand darin Links – speziell auf Justin-Bieber-Videos – auf Pornografie und Malware-Websites umzuleiten, was beim üblichen Alter der Justin Bieber Fans zwischen 8 und 16 Jahren besonders aggressiv und schädlich ist.

Das Problem war zuerst über den Micobloggingdienst Twitter bekannt geworden, wo Nutzer sich über seltsame Störungen auf YouTube beklagten. Im weiteren Verlauf beschwerten sich YouTube-Besucher auch über die Supportseiten von Google.

Google reagierte promt. Jay Nancarrow, ein Google-Sprecher, ließ die Internetgemeinde über Techie-Buzz wissen:

We took swift action to fix a cross-site scripting (XSS) vulnerability on youtube.com that was discovered several hours ago. Comments were temporarily hidden by default within an hour, and we released a complete fix for the issue in about two hours. We’re continuing to study the vulnerability to help prevent similar issues in the future.

Wir haben umgehend Maßnahmen ergriffen, um die seitenübergreifende XSS-Schwachstelle auf youtube.com zu beseitigen, die vor wenigen Stunden entdeckt wurde. Kommentare wurden binnen einer Stunde vorübergehend unsichtbar gemacht und wir haben ein vollständige Lösung für das Problem in circa zwei Stunden erarbeiten können. Zur Zeit untersuchen wir die Schwachstelle, um weitere Angriffe dieser Art in der Zukunft zu verhindern.

Mehr zu den technischen Details des Hackerangriffs hat der Google Watch Blog zusammengetragen.