Der PortSwigger-Sicherheitsforscher Gareth Heyes hat auf der Black-Hat-Konferenz in Las Vegas CSS-Angriffe vorgestellt, die Passwörter, Zugangstoken und sogar einen KI-Postfachhelfer kompromittieren – ganz ohne JavaScript. Betroffen sind sechs große Webmail-Anbieter: Outlook, Gmail, Fastmail, Proton Mail, Yahoo Mail und AOL Mail. Bei Microsoft und Google bleiben zentrale Lücken nach Angaben von Heyes bislang offen.
CSS tarnt Tastenanschläge als harmloses Auswahlmenü
Im Zentrum der Präsentation steht eine Angriffskette gegen Outlook in Kombination mit dem Browser Firefox. Heyes nutzt dafür einen alten CSS-Trick: Ein Auswahlfeld mit benachbarten Optionen reagiert auf einen bestimmten CSS-Selektor und verrät dadurch, welche Taste zuletzt gedrückt wurde. Firefox setzt eine Animation alle 0,5 Millisekunden zurück, wodurch sich Tastenanschläge nahezu in Echtzeit protokollieren lassen. Über eine weitere CSS-Eigenschaft tarnt sich das Feld zusätzlich als gewöhnliches Passwortfeld, sodass Betroffene keinen Verdacht schöpfen. Die Kette beginnt mit einer E-Mail, die per CSS-Mutation den Sanitizer der Weboberfläche umgeht: Browser wandeln versteckte Escape-Zeichen beim Zurücklesen aus dem Dokumentenmodell in reguläre CSS-Syntax um, wodurch eigentlich gefilterte Eigenschaften das Nachrichtenfenster verlassen können. Am Ende blendet die Kette einen gefälschten Microsoft-Anmeldebildschirm ein, der das eingegebene Passwort direkt an einen Server der Angreifenden schickt. Diese Outlook-Lücke funktioniere laut Heyes zum Zeitpunkt der Veröffentlichung weiterhin. Für Angreifende ist der Weg attraktiv, weil er ausschließlich offiziell spezifizierte CSS-Eigenschaften kombiniert und keine gesondert zu meldende Software-Schwachstelle voraussetzt – klassische Antiviren- oder Spam-Filter greifen dabei kaum.
Wettlauf beim Einfügen entlarvt Zugangstoken bei Yahoo, AOL und Fastmail
Eine zweite Kette betrifft Yahoo Mail und AOL Mail und zielt auf Anmeldetoken des Portals Medium. Fügt eine betroffene Person Inhalte aus der Zwischenablage in ein E-Mail-Entwurfsfeld ein, entsteht kurzzeitig ein Zeitfenster, in dem eingebettetes CSS trotz Filterung ausgeführt wird. Verschachtelte CSS-Attributselektoren prüfen dabei einzelne Zeichenfolgen des zwölfstelligen Hex-Tokens von Anfang und Ende her und lassen sich aus den Überlappungen rekonstruieren – am Ende kann sich die angreifende Seite als Opfer bei Medium anmelden. Bei Fastmail nutzten Heyes und sein Kollege Pete Hendy einen ähnlichen Umweg über eine Bild-Proxy-Funktion, um zu erkennen, wann eine E-Mail geöffnet wurde. Fastmail reagierte darauf nach eigenen Angaben von Heyes am schnellsten: Das Unternehmen schloss zwei gemeldete CSS-Mutationsfehler und zahlte für jeden Fund eine Prämie von 1.000 US-Dollar. Die Technik lässt sich grundsätzlich auf jeden Dienst übertragen, der Anmeldetoken direkt in eine aufrufbare Webadresse einbettet, nicht nur auf Medium – wie viele weitere Plattformen betroffen sein könnten, ist unabhängig nicht verifiziert.
KI-Postfachhelfer Cowork leitet ein gestohlenes Slack-Token weiter
Die aus Sicht von Heyes brisanteste Kette richtet sich gegen Gmail in Verbindung mit Cowork, einem KI-gestützten Postfachhelfer mit Gmail-Anbindung, der E-Mails durchsucht und Antwortentwürfe erstellt. Eine E-Mail tarnt eine versteckte Anweisung als harmlose CTF-Übungsaufgabe und bringt Cowork dazu, im Postfach nach einem Bestätigungscode zu suchen – tatsächlich greift der Assistent dabei ein Zugangstoken für den Messenger Slack ab. Das Token landet über eine Bildadresse mit CSS-Fallback-Variable in einem Antwortentwurf; öffnet die Nutzerin oder der Nutzer diesen Entwurf, lädt der Browser das Hintergrundbild und sendet das Token unbemerkt an einen Server der Angreifenden. Ähnliche Zero-Klick-Risiken hatte bereits eine Sicherheitsfirma bei mehreren KI-Browsern aufgezeigt. Google habe die zugrunde liegende Bild-Proxy-Lücke laut Heyes zurückgewiesen; sie funktioniere zum Zeitpunkt der Veröffentlichung am 6. August weiterhin. Proton Mail wies eine vergleichbare Meldung zunächst ebenfalls als kein Fehler zurück, schloss die Lücke einige Monate später jedoch stillschweigend und ohne öffentliche Ankündigung.
Offen bleibt, ob Microsoft und Google die noch unbehobenen CSS-Lücken vor einer ersten realen Angriffswelle schließen oder ob Sicherheitsteams weiterhin auf Nutzerverhalten wie das Einfügen aus der Zwischenablage als Notbremse setzen müssen. Der Fall zeigt zugleich ein wachsendes Muster: Inhalte, die für Menschen unsichtbar bleiben, aber von KI-Assistenten gelesen werden, öffnen einen zusätzlichen Angriffsweg, den klassische Phishing-Filter nicht erfassen.
