Abo
  • Services:
Anzeige
Der Pocket-Einbau in den Firefox-Browser ist umstritten.
Der Pocket-Einbau in den Firefox-Browser ist umstritten. (Bild: Screenshot: Golem.de)

Später lesen: Schwerwiegende Backend-Lücken in Pocket nachgewiesen

Der Pocket-Einbau in den Firefox-Browser ist umstritten.
Der Pocket-Einbau in den Firefox-Browser ist umstritten. (Bild: Screenshot: Golem.de)

Ohne viel Aufwand hat ein Sicherheitsforscher auf die Backend-Infrastruktur von Pocket zugreifen können. Die Fehler sind zwar inzwischen behoben, dem Streit um die Aufnahme der App zum späteren Lesen in den Firefox-Browser könnte dies aber neuen Anschub geben.

Anzeige

Mit der App Pocket lassen sich Webseiten zum späteren Lesen speichern. Mozilla stellt den Firefox-Nutzern diese Funktion über eine Integration in den Browser bereit. Doch ein Sicherheitsforscher hat nun gezeigt, wie leicht die Backends des Dienstes angreifbar waren. Dazu benötigte er nur einen Browser, die App und einen Server in der Amazon-Cloud. Kritiker der Kooperation von Mozilla mit Pocket sehen sich damit erneut bestätigt, auch wenn Pocket schnell auf die gemeldeten Fehler reagiert hat.

Unerwartet leichter Zugang

Laut dem Experten war es möglich, an detaillierte Informationen zu den eingesetzten Servern zu gelangen, indem die URL http://127.0.0.1/server-status in die Pocket-Liste eingetragen wurde. Da der Server einer vermeintlichen Eingabe von Localhost vertraute, wurden die Ausgaben des Status-Moduls mit dem Android-Smartphone des Entwicklers synchronisiert.

Dadurch war es einfach möglich, die Version des eingesetzten Apache-Servers zu erfahren, ebenso wie Quell- und Ziel-IP-Adressen des internen Netzwerks, spezielle Parameter der derzeit verarbeiteten URLs anderer Nutzer oder auch Abfrageparameter für den Server selbst. Auf den meisten Servern sei diese Art der Ausgaben zwar abgeschaltet gewesen, auf einer kleinen Menge von Servern jedoch verfügbar geblieben.

Zugriff auf Cloud-Metadaten und /etc/passwd

Dank einfacher DNS-Abfragen war dem Forscher klar, dass Pocket die Amazon-Cloud für das Backend verwendet. Amazon bietet seinen Kunden einen Metadaten-Dienst, der intern ohne Authentifizierung genutzt werden kann. Bei der Eingabe der dazugehörigen URLs in Pocket erschienen die Ergebnisse wiederum auf dem Smartphone. Dies gab Aufschluss über die gesamte Cloud-Konfiguration von Pocket.

Über einen speziell manipulierten Link in der Pocket-Liste gelang es dem Forscher darüber hinaus, eine HTTP-Umleitung zu erzwingen. So wurden die Inhalte der Datei /etc/passwd synchronisiert, die Informationen zu Nutzern der Server enthält und Aufschluss über deren Passwörter geben kann. Letztlich zeigte auch der Prozessstatus (/proc/self/status) an, dass der Dienst mit Root-Rechten lief.

Damit hätten private SSH-Schlüssel aus den Verzeichnissen der Nutzer entwendet werden können, um sich anschließend direkt Vollzugriff auf die Infrastruktur zu verschaffen.

Diskussion um Pocket-Integration in Firefox

Die verblüffende Einfachheit des Angriffs lässt Pocket als potenziell sehr unsicher erscheinen. Das gilt dann natürlich auch für die Daten der Nutzer. So fragen sich Kommentatoren, etwa bei Hackernews, warum Mozilla den Dienst überhaupt in den Browser eingebaut habe, dieser gefährde schließlich die Anwender.

Auch die grundsätzliche Kritik daran, dass ein nicht freier Dienst fest in den Browser integriert wurde, wird von einigen nun wieder vorgetragen. Ob Mozilla deshalb von seinem Verhalten abrückt, bleibt aber abzuwarten und ist eher unwahrscheinlich.


eye home zur Startseite
tolc 21. Aug 2015

Danke ebenfalls für den Hinweis. Hab ich gleich mal deaktiviert, obwohl bei mir die...

sulawyo 20. Aug 2015

Pocket kann in Firefox via 'about:config' abgeschaltet werden: Einfach 'browser.pocket...

TC 20. Aug 2015

das Symbol entfernt. dafür gibts doch schon Bookmarks

Baron Münchhausen. 20. Aug 2015

Zu was es führt sieht man. Total verrückte Ideen.

NWM 20. Aug 2015

Super praktisch, 1. es gibt eine App die ohne Browser die in Pocket gespeicherten Inhalte...



Anzeige

Stellenmarkt
  1. Bremer Rechenzentrum GmbH, Bremen
  2. Robert Bosch GmbH, Bühl
  3. über Robert Half Technology, Göppingen
  4. TUI InfoTec GmbH, Hannover


Anzeige
Top-Angebote
  1. 349,97€
  2. 189,00€ (Vergleichspreis ab ca. 235€)
  3. 99,00€ (Vergleichspreis ab ca. 129€)

Folgen Sie uns
       

Anzeige
Whitepaper
  1. Mehr dazu im aktuellen Whitepaper von IBM
  2. Sicherheitsrisiken bei der Dateifreigabe & -Synchronisation
  3. Potenzialanalyse für eine effiziente DMS- und ECM-Strategie


  1. Microsoft

    Besucher können die Hololens im Kennedy Space Center nutzen

  2. MacOS 10.12

    Fujitsu warnt vor der Nutzung von Scansnap unter Sierra

  3. IOS 10.0.2

    Apple beseitigt Ausfälle der Lightning-Audio-Kontrollen

  4. Galaxy Note 7

    Samsung tauscht das Smartphone vor der Haustür aus

  5. Falcon-9-Explosion

    SpaceX grenzt Explosionsursache ein

  6. Die Woche im Video

    Schneewittchen und das iPhone 7

  7. 950 Euro

    Abmahnwelle zu Pornofilm-Filesharing von Betrügern

  8. Jailbreak

    19-Jähriger will iPhone-7-Exploit für sich behalten

  9. Alle drei Netze

    Ericsson und Icomera bauen besseres Bahn-WLAN

  10. Oculus Rift

    Palmer Luckey im Netz als Trump-Unterstützer geoutet



Haben wir etwas übersehen?

E-Mail an news@golem.de


Anzeige
Oliver Stones Film Snowden: Schneewittchen und die nationale Sicherheit
Oliver Stones Film Snowden
Schneewittchen und die nationale Sicherheit
  1. US-Experten im Bundestag Gegen Überwachung helfen keine Gesetze
  2. Neues BND-Gesetz Eco warnt vor unkontrolliertem Zugriff auf deutschen Traffic
  3. Datenschützerin Voßhoff Geheimbericht wirft BND schwere Gesetzesverstöße vor

Fitbit Charge 2 im Test: Fitness mit Herzschlag und Klopfgehäuse
Fitbit Charge 2 im Test
Fitness mit Herzschlag und Klopfgehäuse
  1. Fitbit Ausatmen mit dem Charge 2
  2. Polar M600 Sechs LEDs für eine Pulsmessung
  3. Xiaomi Mi Band 2 im Hands on Fitness-Preisbrecher mit Hack-App

Osmo Mobile im Test: Hollywood fürs Smartphone
Osmo Mobile im Test
Hollywood fürs Smartphone
  1. Osmo Mobile DJI präsentiert Gimbal fürs Smartphone
  2. Hasselblad DJI hebt mit 50-Megapixel-Luftbildkamera ab
  3. DJI Flugverbotszonen in Drohnensoftware lassen sich ausschalten

  1. Trump und Clinton sind beide eine große Gefahr...

    fb_partofmilitc... | 06:30

  2. Re: [Hier Beleidigung einfügen]

    grslbr | 05:35

  3. Re: Wow...

    DerVorhangZuUnd... | 05:11

  4. Re: Hübsches kleines Ding

    Mixer | 04:03

  5. Re: Ja und???

    emuuu | 01:17


  1. 12:51

  2. 11:50

  3. 11:30

  4. 11:13

  5. 11:03

  6. 09:00

  7. 18:52

  8. 17:54


  1. Themen
  2. A
  3. B
  4. C
  5. D
  6. E
  7. F
  8. G
  9. H
  10. I
  11. J
  12. K
  13. L
  14. M
  15. N
  16. O
  17. P
  18. Q
  19. R
  20. S
  21. T
  22. U
  23. V
  24. W
  25. X
  26. Y
  27. Z
  28. #
 
    •  / 
    Zum Artikel