Dropbox schließt Referer-Lücke
In begrenzten Rahmen geteilte Dropbox-Dokumente können beim Klick auf darin enthaltene Links enttarnt werden. Durch den Fix macht der Cloud-Dienstleister allerdings alle existierenden Dokumente unerreichbar. Diese müssen neu geteilt werden.
- Fabian A. Scherschel
Dropbox hat eine Schwachstelle bei mit Links geteilten Dokumenten im eigenen Cloud-Speicher gestopft. Bei der Schwachstelle handelt es sich um eine im normalen Web-Alltag durchaus übliche Funktion, die allerdings im Kontext von nicht öffentlich geteilten Dokumenten zum Problem werden kann. Durch sie kann ein Server-Betreiber unter Umständen Dokumente finden, die ein Nutzer eigentlich nur mit einer kleinen Anzahl an anderen Nutzern teilen wollte. Im normalen Web-Alltag dienen Referer (übrigens ursprünglich eine Fehlschreibweise von "referrer") dazu, Webseiten darüber zu informieren, über welchen Link ein Besucher bei ihnen gelandet ist.
Teilt man ein Dokument in einer Dropbox über einen geheimen Link, können nur Nutzer, die diesen kennen, auf das Dokument zugreifen. Enthält das Dokument allerdings selbst Links zu externen Servern, wird beim Klick auf diese dem Zielserver als Referer der geheime Dropbox-Link mitgegeben. Das kann dazu führen, dass der Betreiber des Drittservers diese Zugriffe mitschreibt und so Zugriff auf die Dropbox-Dokumente erhält, die eigentlich nur einer kleinen Anzahl an Nutzern zur Verfügung stehen sollten. Laut Dropbox ist nicht bekannt, dass die Lücke für konkrete Angriffe verwendet wurde.
Der Cloud-Dienstleister hat das Problem für alle ab sofort erzeugten und geteilten Dokumente behoben. Die geheimen Links zu älteren Dokumenten funktionieren durch den Fix nicht mehr und müssen neu erzeugt werden. Die Firma entschuldigt sich in ihrem Blog-Artikel zu dem Bugfix für diese Unannehmlichkeit, gibt aber zu bedenken, dass man das Problem nicht anders habe beheben können. (fab)
