Firefox: Design-Schwäche seit 11 Jahren unbehandelt - und ausgenutzt

Einmal mehr steht aktuell ein Design-Fehler im Firefox-Browser im Fokus, mit dem die Betreiber unseriöser Webseiten die Besucher auf ihrem Angebot festhalten. Bemerkenswert dabei ist die Tatsache, dass dieses Problem seit nunmehr elf Jahren bekannt ist und von Mozillas Entwicklern einfach ignoriert wird. Der Trick dahinter funktioniert im Grunde recht simpel: In die jeweilige Webseite wird ein iFrame eingebaut, über das Inhalte einer bestimmten anderen Domain aufgerufen werden. Das führt hier nun dazu, dass ein Authentifizierungs-Dialog aufpoppt. Wird das Abfrage-Fenster geschlossen, löst dies automatisch eine Schleife aus, die sofort wieder einen neuen Dialog hervorbringt.

Der Anwender bleibt so auf der jeweiligen Seite gefangen. Der Sinn einer solchen Aktion lässt sich nicht immer direkt erkennen, allerdings dürfte es in den meisten Fällen darum gehen, in anderen Bereichen beispielsweise immer wieder einmal Werbeeinblendungen neu nachzuladen und so Einnahmen zu generieren. Heraus kommt der User aus der Falle nur, wenn er den Browser komplett neu startet, wie das US-Magazin ZDNet berichtet.

Anderswo gibt es Lösungen

Andere Browser-Hersteller haben die Methode schon vor vielen Jahren ausgebremst. In Microsofts Edge wird die Anzeige eines solchen Dialogs zur Passwort-Abfrage stets erst nach einer kleinen künstlichen Verzögerung geöffnet. Das gibt dem Anwender im Zweifel ein kurzes Zeitfenster, in dem der jeweilige Tab geschlossen werden kann. Die Chrome-Entwickler haben den Authentifizierungs-Dialog hingegen an einzelne Tabs und nicht mehr an das komplette Browser-Fenster gekoppelt, so dass betroffene User einfach zu einer anderen Seite wechseln und den gekaperten Tab schließen können.

Bei Mozilla ist hingegen bisher nichts passiert - und das, obwohl das Problem mit einigen zeitlichen Abständen immer wieder gemeldet wurde. In der Bug-Report-Datenbank des Firefox ist das Problem bereits sieben Mal zu unterschiedlichen Zeitpunkten vermerkt worden. Korrigiert wurde es aber aus unbekannten Gründen bisher nicht, so dass die Design-Schwäche aktuell beispielsweise für eine Kampagne genutzt werden kann, mit der man Anwendern manipulierte Browser-Erweiterungen unterschieben will.