Header-Injection
aus Wikipedia, der freien Enzyklopädie
Header-Injection ist eine Oberklasse von Sicherheitslücken in Web-Anwendungen, welche auftreten wenn die Header eines Protokolls dynamisch aus Benutzereingaben generiert werden. Header-Injection in HTTP kann z. B. zu HTTP-Response-Splitting und Cross-Site Scripting führen. Bei der dynamischen Erstellung von E-Mails über eine Webanwendung kann eine Header-Injection genutzt werden um andere Empfänger in eine Mail einzutragen und so z. B. Spam zu versenden.
[Bearbeiten] Gegenmaßnahmen
Zum Verhindern einer Header-Injection müssen Benutzereingaben sorgfältig geprüft werden. In der Regel werden Header durch einen Zeilenumbruch begrenzt. In der weit verbreiteten Skriptsprache PHP wird seit den Versionen 4.4.2 bzw. 5.1.2 eine Injection über die header-Funktion verhindert.