Abo
  • Services:
Anzeige
Der Pocket-Einbau in den Firefox-Browser ist umstritten.
Der Pocket-Einbau in den Firefox-Browser ist umstritten. (Bild: Screenshot: Golem.de)

Später lesen: Schwerwiegende Backend-Lücken in Pocket nachgewiesen

Der Pocket-Einbau in den Firefox-Browser ist umstritten.
Der Pocket-Einbau in den Firefox-Browser ist umstritten. (Bild: Screenshot: Golem.de)

Ohne viel Aufwand hat ein Sicherheitsforscher auf die Backend-Infrastruktur von Pocket zugreifen können. Die Fehler sind zwar inzwischen behoben, dem Streit um die Aufnahme der App zum späteren Lesen in den Firefox-Browser könnte dies aber neuen Anschub geben.

Anzeige

Mit der App Pocket lassen sich Webseiten zum späteren Lesen speichern. Mozilla stellt den Firefox-Nutzern diese Funktion über eine Integration in den Browser bereit. Doch ein Sicherheitsforscher hat nun gezeigt, wie leicht die Backends des Dienstes angreifbar waren. Dazu benötigte er nur einen Browser, die App und einen Server in der Amazon-Cloud. Kritiker der Kooperation von Mozilla mit Pocket sehen sich damit erneut bestätigt, auch wenn Pocket schnell auf die gemeldeten Fehler reagiert hat.

Unerwartet leichter Zugang

Laut dem Experten war es möglich, an detaillierte Informationen zu den eingesetzten Servern zu gelangen, indem die URL http://127.0.0.1/server-status in die Pocket-Liste eingetragen wurde. Da der Server einer vermeintlichen Eingabe von Localhost vertraute, wurden die Ausgaben des Status-Moduls mit dem Android-Smartphone des Entwicklers synchronisiert.

Dadurch war es einfach möglich, die Version des eingesetzten Apache-Servers zu erfahren, ebenso wie Quell- und Ziel-IP-Adressen des internen Netzwerks, spezielle Parameter der derzeit verarbeiteten URLs anderer Nutzer oder auch Abfrageparameter für den Server selbst. Auf den meisten Servern sei diese Art der Ausgaben zwar abgeschaltet gewesen, auf einer kleinen Menge von Servern jedoch verfügbar geblieben.

Zugriff auf Cloud-Metadaten und /etc/passwd

Dank einfacher DNS-Abfragen war dem Forscher klar, dass Pocket die Amazon-Cloud für das Backend verwendet. Amazon bietet seinen Kunden einen Metadaten-Dienst, der intern ohne Authentifizierung genutzt werden kann. Bei der Eingabe der dazugehörigen URLs in Pocket erschienen die Ergebnisse wiederum auf dem Smartphone. Dies gab Aufschluss über die gesamte Cloud-Konfiguration von Pocket.

Über einen speziell manipulierten Link in der Pocket-Liste gelang es dem Forscher darüber hinaus, eine HTTP-Umleitung zu erzwingen. So wurden die Inhalte der Datei /etc/passwd synchronisiert, die Informationen zu Nutzern der Server enthält und Aufschluss über deren Passwörter geben kann. Letztlich zeigte auch der Prozessstatus (/proc/self/status) an, dass der Dienst mit Root-Rechten lief.

Damit hätten private SSH-Schlüssel aus den Verzeichnissen der Nutzer entwendet werden können, um sich anschließend direkt Vollzugriff auf die Infrastruktur zu verschaffen.

Diskussion um Pocket-Integration in Firefox

Die verblüffende Einfachheit des Angriffs lässt Pocket als potenziell sehr unsicher erscheinen. Das gilt dann natürlich auch für die Daten der Nutzer. So fragen sich Kommentatoren, etwa bei Hackernews, warum Mozilla den Dienst überhaupt in den Browser eingebaut habe, dieser gefährde schließlich die Anwender.

Auch die grundsätzliche Kritik daran, dass ein nicht freier Dienst fest in den Browser integriert wurde, wird von einigen nun wieder vorgetragen. Ob Mozilla deshalb von seinem Verhalten abrückt, bleibt aber abzuwarten und ist eher unwahrscheinlich.


eye home zur Startseite
tolc 21. Aug 2015

Danke ebenfalls für den Hinweis. Hab ich gleich mal deaktiviert, obwohl bei mir die...

sulawyo 20. Aug 2015

Pocket kann in Firefox via 'about:config' abgeschaltet werden: Einfach 'browser.pocket...

TC 20. Aug 2015

das Symbol entfernt. dafür gibts doch schon Bookmarks

Baron Münchhausen. 20. Aug 2015

Zu was es führt sieht man. Total verrückte Ideen.

NWM 20. Aug 2015

Super praktisch, 1. es gibt eine App die ohne Browser die in Pocket gespeicherten Inhalte...



Anzeige

Stellenmarkt
  1. MED-EL Medical Electronics, Innsbruck (Österreich)
  2. DLR Deutsches Zentrum für Luft- und Raumfahrt e.V., Köln
  3. Ostbayerische Technische Hochschule Amberg-Weiden (OTH), Amberg
  4. Daimler AG, Düsseldorf


Anzeige
Top-Angebote
  1. 15€ sparen mit Gutscheincode GTX15
  2. Boomster 279,99€, Consono 35 MK3 5.1-Set 333,00€, Move BT 119,99€)
  3. 69,99€ (Liefertermin unbekannt)

Folgen Sie uns
       

Anzeige
Whitepaper
  1. Mit digitalen Workflows Geschäftsprozesse agiler machen
  2. Sicherheitsrisiken bei der Dateifreigabe & -Synchronisation
  3. Praxiseinsatz, Nutzen und Grenzen von Hadoop und Data Lakes


  1. Landgericht Traunstein

    Postfach im Impressum einer Webseite nicht ausreichend

  2. Big-Jim-Sammelfiguren

    Ebay-Verkäufer sind ehrlich geworden

  3. Musikstreaming

    Soundcloud startet Abo-Service in Deutschland

  4. Frankreich

    Filmförderung über "Youtube-Steuer"

  5. Galaxy S8

    Samsung will auf Klinkenbuchse verzichten

  6. Asteroid OS

    Erste Alpha-Version von offenem Smartwatch-OS veröffentlicht

  7. Bemannte Raumfahrt

    Esa liefert ein zweites Servicemodul für Orion

  8. Bundesverwaltungsgericht

    Firmen müssen Rundfunkbeitrag zahlen

  9. Zenbook 3 im Test

    Macbook-Konkurrenz mit kleinen USB-Typ-C-Problemen

  10. id Software

    Update für Doom entfernt Denuvo



Haben wir etwas übersehen?

E-Mail an news@golem.de


Anzeige
Civilization: Das Spiel mit der Geschichte
Civilization
Das Spiel mit der Geschichte
  1. Civilization 6 Globale Strategie mit DirectX 12
  2. Take 2 GTA 5 saust über die 70-Millionen-Marke
  3. Civilization 6 im Test Nachhilfestunde(n) beim Städtebau

Oculus Touch im Test: Tolle Tracking-Controller für begrenzte Roomscale-Erfahrung
Oculus Touch im Test
Tolle Tracking-Controller für begrenzte Roomscale-Erfahrung
  1. Microsoft Oculus Rift bekommt Kinomodus für Xbox One
  2. Gestensteuerung Oculus Touch erscheint im Dezember für 200 Euro
  3. Facebook Oculus zeigt drahtloses VR-Headset mit integriertem Tracking

Canon EOS 5D Mark IV im Test: Grundsolides Arbeitstier mit einer Portion Extravaganz
Canon EOS 5D Mark IV im Test
Grundsolides Arbeitstier mit einer Portion Extravaganz
  1. Video Youtube spielt Livestreams in 4K ab
  2. Ausgabegeräte Youtube unterstützt Videos mit High Dynamic Range
  3. Canon EOS M5 Canons neue Systemkamera hat einen integrierten Sucher

  1. Radnabenmotoren sind Gift für die Fahrdynamik

    Flasher | 12:53

  2. Re: So geht's dahin

    Trollversteher | 12:53

  3. Re: Kein Kopfhöreranschluß? Unglaublich..

    kendon | 12:52

  4. und wenn man ...

    Moe479 | 12:52

  5. Ein paar Fehler im Artikel....

    kvoram | 12:52


  1. 12:42

  2. 12:02

  3. 11:48

  4. 11:40

  5. 11:32

  6. 11:24

  7. 11:13

  8. 10:56


  1. Themen
  2. A
  3. B
  4. C
  5. D
  6. E
  7. F
  8. G
  9. H
  10. I
  11. J
  12. K
  13. L
  14. M
  15. N
  16. O
  17. P
  18. Q
  19. R
  20. S
  21. T
  22. U
  23. V
  24. W
  25. X
  26. Y
  27. Z
  28. #
 
    •  / 
    Zum Artikel