CSS ist vor allem als Sprache bekannt, mit der das Erscheinungsbild von Websites und Online-Dokumenten gesteuert wird. Sicherheitsforscher machen nun auf ein weniger offensichtliches Risiko aufmerksam: Sorgfältig erstellte Stylesheets könnten missbraucht werden, um Informationen abzuleiten oder zu extrahieren, die in Webmail-Anwendungen angezeigt werden.
Im Mittelpunkt steht die Frage, wie Browser und E-Mail-Clients CSS verarbeiten. In einigen Umgebungen kann eine bösartige Nachricht oder eingebettete Webseite mithilfe von Stilregeln Anfragen an einen externen Server auslösen, wenn bestimmte Elemente, Zeichen oder Zustände der Benutzeroberfläche vorhanden sind. Durch die Beobachtung dieser Anfragen könnte ein Angreifer möglicherweise begrenzte Daten rekonstruieren, ohne direkt auf das Postfach des Opfers zuzugreifen.
Solche Techniken hängen im Allgemeinen von mehreren Bedingungen ab, darunter das Darstellungsverhalten der Zielanwendung, die Verfügbarkeit extern gehosteter Inhalte sowie die Möglichkeit, speziell gestaltetes HTML zu platzieren oder zu übermitteln. Sie sind nicht mit einem herkömmlichen Servereinbruch gleichzusetzen, können jedoch einen Seitenkanal schaffen, über den Informationen an eine externe Partei gelangen.
Forscher erklären, dass das Problem Aufmerksamkeit verdient, weil Webmail-Dienste und Sicherheitsprodukte CSS nicht einheitlich verarbeiten. Einige Plattformen schränken aktive Inhalte ein oder leiten externe Ressourcen über Proxyserver, während andere möglicherweise mehr Browserfunktionen zulassen, als Nutzer erwarten. Unterschiede bei der Implementierung können sowohl die Durchführbarkeit eines Angriffs als auch den Umfang der wiederherstellbaren Informationen beeinflussen.
Warum das Problem wichtig ist
E-Mails werden häufig eher als Dokumentformat denn als ausführbare Umgebung betrachtet. Moderne Nachrichten können jedoch HTML, Styles, Bilder und andere Inhalte enthalten, die von einer browserähnlichen Engine verarbeitet werden. Diese Komplexität kann die Angriffsfläche vergrößern, insbesondere wenn Nachrichten in einer vollständig webbasierten Anwendung angezeigt werden.
Nutzer sollten Browser, E-Mail-Clients und Sicherheitssoftware stets aktuell halten und es vermeiden, verdächtige Nachrichten oder Links zu öffnen. Unternehmen können ihre Gefährdung verringern, indem sie externe Inhalte einschränken, strenge Content-Security-Kontrollen anwenden und ungewöhnliche ausgehende Anfragen überwachen. Anbieter müssen möglicherweise prüfen, wie CSS isoliert wird und ob bei der Darstellung von Nachrichten vertrauliche Daten der Benutzeroberfläche oder der Nachrichten offengelegt werden können.