Sicherheitslücke in Opera GX ermöglichte die unbemerkte Installation von Mods und das Ausspähen von Seitendaten

Sicherheitsforscher haben eine Schwachstelle in Opera GX, der Gaming-orientierten Version des Opera-Browsers, offengelegt. Sie hätte es einer bösartigen Website ermöglichen können, ohne Zustimmung des Nutzers einen Mod zu installieren und damit anschließend ausgewählte Informationen aus Seiten auszulesen, die das Opfer später besucht. In einer Proof-of-Concept-Demonstration konnten die Forscher nach nur einem Besuch ohne erforderliche Klicks die Gmail-Adresse eines angemeldeten Nutzers rekonstruieren.

Opera hat bereits in Opera GX Version 130.0.5847.89 einen Fix veröffentlicht. Das Unternehmen erklärte, es habe keine Hinweise darauf gefunden, dass die Schwachstelle in freier Wildbahn ausgenutzt wurde. Nutzer der aktuellen Version sind geschützt. Die installierte Version lässt sich über die interne about-Seite des Browsers überprüfen. Opera hat der Schwachstelle keine CVE-Nummer zugewiesen.

So funktionierte der Angriff

Opera GX unterstützt „Mods“, die Themes, Sounds, Hintergrundbilder und die Gestaltung von Websites verändern. Obwohl diese Pakete als .crx-Dateien verteilt werden, handelt es sich nicht um vollständige Erweiterungen, und sie führen weder JavaScript aus noch fordern sie Berechtigungen an. Das Problem lag im Installationsablauf: Eine Website konnte den Download und die Aktivierung eines Mods automatisch auslösen, ohne dass eine Bestätigungsabfrage erschien. Die Forscher zeigten, dass dies unbemerkt über ein verstecktes iframe möglich war, das auf das Mod-Paket verwies.

Nach der Installation wird das CSS eines Mods auf viele Seiten angewendet, die der Browser öffnet. Dadurch konnten Angreifer sogenannte universelle CSS-Injektionen nutzen. Durch die Kombination von CSS-Attributselektoren mit Bildanfragen an einen von den Angreifern kontrollierten Server konnte der Mod den Seiteninhalt Stück für Stück testen und sensible Werte Zeichen für Zeichen ableiten. Diese Technik ist eine Form von XS-Leak, also einem siteübergreifenden Datenleck.

Zum Nachweis der Machbarkeit zielten die Forscher auf eine Google-Kontoseite, die eine E-Mail-Adresse in ihrem HTML preisgab. Sie erstellten einen umfangreichen Regelsatz und verwendeten anschließend ein Skript, um den Wert aus den ausgelösten Anfragen zusammenzusetzen. Außerdem stellten sie einen separaten Nebeneffekt fest: Das Laden einer .crx-Datei im privaten Modus konnte den Browser zum Absturz bringen und geöffnete Tabs offenlegen, auch in der regulären Opera-Version. Die Sicherheitsmitteilung von Opera konzentrierte sich jedoch auf das Problem des Datendiebstahls.

Schweregrad und Reaktion

Das Bug-Bounty-Team von Opera bewertete den Bericht zunächst als weniger schwerwiegend, stufte ihn später jedoch als Problem höchster Schwere ein und zahlte die maximale Prämie von 5.000 US-Dollar. Das Unternehmen erklärte, für den Angriff hätte ein Opfer eine bösartige Website besuchen und lange genug auf der Seite bleiben müssen, damit die Mod-Installation und die Weiterleitungskette abgeschlossen werden konnten. Die Forscher hielten dagegen, dass der Exploit schnell genug ausgeführt werden konnte, um aktiv zu werden, bevor ein Nutzer den Hinweis zur Entfernung des Mods bemerkte.

Der Vorfall verdeutlicht, wie eine für die Anpassung gedachte Funktion zu einem Risiko für die Datenexposition werden kann, wenn ihre Reichweite über die ursprüngliche Seite hinausgeht. In diesem Fall genügte CSS allein, um einen weitreichenden Datenabfluss zu ermöglichen, sobald es mit dem Browser weitergetragen wurde, anstatt auf einer einzelnen Website zu verbleiben.