Abo
  • Services:
Anzeige
Amazon-Chef Jeff Bezos
Amazon-Chef Jeff Bezos (Bild: Shannon Stapleton/Reuters)

XML Signature Wrapping: Bochumer Forscher finden Lücke in Amazon Web Services

Amazon-Chef Jeff Bezos
Amazon-Chef Jeff Bezos (Bild: Shannon Stapleton/Reuters)

Forscher der Ruhr-Universität Bochum konnten sich in Accounts der Amazon Web Services hacken, um Images anzulegen und zu löschen. Auch der Amazon-Shop sei für Cross-Site-Scripting-Angriffe anfällig gewesen.

Forscher der Ruhr-Uni wollen bei den Amazon-Cloud-Diensten eine "massive Sicherheitslücke" gefunden haben. Als Angriffsmethoden wurden Signature Wrapping und Cross Site Scripting eingesetzt. "Anhand unserer Forschungsergebnisse bestätigte Amazon die Sicherheitslücken und schloss sie umgehend", erklärte Jörg Schwenk vom Lehrstuhl für Netz- und Datensicherheit der Ruhr-Universität.

Anzeige

"Mit verschiedenen Varianten von XML-Signature-Wrapping-Angriffen ist es uns gelungen, die administrativen Rechte eines beliebigen Cloud-Kunden komplett zu übernehmen", so Juraj Somorovsky, ein Mitarbeiter Schwenks. "Somit konnten wir etwa in der Cloud des Opfers neue Instanzen anlegen, Images erstellen oder auch löschen." Die Forscher vermuten, dass viele Cloud-Angebote anfällig gegen Signature-Wrapping-Attacken sind.

Darüber hinaus erklären die Forscher, Lücken im AWS Interface und im Amazon-Shop gefunden zu haben, die dafür geeignet seien, ausführbaren Skriptcode einzuschleusen, um Cross-Site-Scripting-Angriffe auszuführen. "Wir hatten ungehinderten Zugang zu allen Daten des Kunden, darunter Authentifizierungsdaten, Tokens und selbst Passwörter im Klartext", erklärte Mario Heiderich, der ebenfalls zu der Forschergruppe gehört. Das gemeinsame Login berge ein komplexes Gefahrenpotenzial: "Es ist eine Kettenreaktion: Denn eine Sicherheitslücke im komplexen Amazon Shop verursacht immer direkt auch eine Lücke in der Amazon Cloud."

Auch in Eucalyptus, einer Open-Source-Infrastruktur zur Nutzung von Clouds auf Clustern, fanden sich laut Schwenk ähnliche Schwachstellen. "Auf unseren Hinweis bestätigten Amazon und Eucalyptus die Sicherheitslücken und schlossen sie umgehend", sagte er.


eye home zur Startseite
Der ohne Name 25. Okt 2011

...im Amazon-Shop? Wer sowas macht gehört verprügelt.



Anzeige

Stellenmarkt
  1. Bundesanstalt für Immobilienaufgaben, Bonn
  2. INCONY AG, Paderborn
  3. TenneT TSO GmbH, Lehrte
  4. Aareon Deutschland GmbH, Mainz


Anzeige
Top-Angebote
  1. 49,90€ (Vergleichspreis: 62,90€)
  2. 59,90€ (Vergleichspreis: 71,30€)

Folgen Sie uns
       

Anzeige
Whitepaper
  1. Mehr dazu im aktuellen Whitepaper von IBM
  2. Tipps für IT-Engagement in Fernost
  3. Potenzialanalyse für eine effiziente DMS- und ECM-Strategie


  1. Code-Gründer Thomas Bachem

    "Wir wollen weg vom Frontalunterricht"

  2. Pegasus

    Ausgeklügelte Spyware attackiert gezielt iPhones

  3. Fenix Chronos

    Garmins neue Sport-Smartwatch kostet ab 1.000 Euro

  4. C-94

    Cratoni baut vernetzten Fahrradhelm mit Crash-Sensor

  5. Hybridluftschiff

    Airlander 10 streifte Überlandleitung

  6. Smartphones

    Apple will Diebe mit iPhone-Technik überführen

  7. 3D-Flash

    Intel veröffentlicht gleich sechs neue SSD-Reihen

  8. Galaxy Tab S

    Samsung verteilt Update auf Android 6.0

  9. Verschlüsselung

    OpenSSL veröffentlicht Version 1.1.0

  10. DJI Osmo+

    Drohnenkamera am Selfie-Stick



Haben wir etwas übersehen?

E-Mail an news@golem.de


Anzeige
Xfel: Riesenkamera nimmt Filme von Atomen auf
Xfel
Riesenkamera nimmt Filme von Atomen auf
  1. US Air Force Modifikation der Ionosphäre soll Funk verbessern
  2. Teilchenbeschleuniger Mögliches neues Boson weist auf fünfte Fundamentalkraft hin
  3. Materialforschung Glas wechselt zwischen durchsichtig und schwarz

Deus Ex Mankind Divided im Test: Der Agent aus dem Hardwarelabor
Deus Ex Mankind Divided im Test
Der Agent aus dem Hardwarelabor
  1. Summit Ridge AMDs Zen-Chip ist so schnell wie Intels 1.000-Euro-Core-i7
  2. Doom Denuvo schützt offenbar nicht mehr
  3. Deus Ex angespielt Eine Steuerung für fast jeden Agenten

Avegant Glyph aufgesetzt: Echtes Kopfkino
Avegant Glyph aufgesetzt
Echtes Kopfkino

  1. Re: warum nicht gleich Akku leihen ?

    CopyUndPaste | 12:05

  2. Re: Cool, Apple patentiert apps!

    Trollversteher | 12:05

  3. Re: "Fingerabdruck verlässt das Gerät nicht"

    Trollversteher | 12:04

  4. Re: Abmahnbeantworter = Fake

    Keridalspidialose | 12:03

  5. Re: BITTE ANDERE DAVOR WARNEN ES KINDER ZU KAUFEN

    Prinzeumel | 12:02


  1. 12:01

  2. 11:57

  3. 10:40

  4. 10:20

  5. 09:55

  6. 09:38

  7. 09:15

  8. 08:56


  1. Themen
  2. A
  3. B
  4. C
  5. D
  6. E
  7. F
  8. G
  9. H
  10. I
  11. J
  12. K
  13. L
  14. M
  15. N
  16. O
  17. P
  18. Q
  19. R
  20. S
  21. T
  22. U
  23. V
  24. W
  25. X
  26. Y
  27. Z
  28. #
 
    •  / 
    Zum Artikel