Bei Zehntausenden von Internetseiten, die mit dem Web-Framework Ruby on Rails erstellt wurden, haben Angreifer über eine Sicherheitslücke durch Kopieren der Session-Cookies die Nutzerkonten übernommen. Darunter sind teilweise sehr bekannte Seiten wie Warner Bros., Kickstarter, Paper.li, Simfy, Ask.fm und Audioboo. Besonders einfach wird der Cookie-Klau, wenn der Angreifer im selben Netz ist wie das Opfer.
Dummerweise können die Session-Daten beliebig lang genutzt werden, weil Rails die Cookies nicht ungültig macht. Das ist besonders dann sehr gefährlich, wenn die Seite ihre Authentifizierung nicht über eine sichere SSL-Verbindung abwickelt.
Zwar hat hat Rails die Version 4.0 der Komponente so umgestellt, dass die Cookies nur noch verschlüsselte Daten enthalten – das hilft aber nicht wirklich, weil sich Angreifer mit abgefangenen Cookies immer noch anmelden können.
Wer Ruby-Seiten betreibt, sollte andere Möglichkeiten für Session-Cookies nutzen, beispielsweise durch eine Sessionverwaltung mit ActiveRecord::Store.
