Abo
  • Services:

Borg: Sicherheitsforscher dringt in internes Google-Netz vor

Durch das Ausnutzen einer Sicherheitslücke konnte ein Forscher bis in Googles internes Netz vordringen und dort auf die Cluster-Verwaltung Borg zugreifen. Die Lücke ist geschlossen, der Forscher hat eine Prämie von Google erhalten.

Artikel veröffentlicht am ,
Die internen Verbindungen von Google nutzen offenbar nicht immer eine Authentifizierung.
Die internen Verbindungen von Google nutzen offenbar nicht immer eine Authentifizierung. (Bild: Marcin Wichary, flickr.com/CC-BY 2.0)

Der Sicherheitsforscher Enguerran Gillier beschreibt in seinem Blog eine Sicherheitslücke auf Servern von Google, die es ihm ermöglichte, bis in das interne Netz des Unternehmens vorzudringen und Zugriff auf die Status-Verwaltung sogenannter Borglets zu erhalten. Die Borglets repräsentieren in Googles hauseigener Cluster-Verwaltung Borg je einen physischen Server. Borg diente den Google-Entwicklern des freien Kubernetes als ideelles Vorbild.

Stellenmarkt
  1. ip-fabric GmbH, München
  2. Fraunhofer-Institut für Optronik, Systemtechnik und Bildauswertung IOSB, Ilmenau

Gillier schreibt, dass er bereits vor mehreren Monaten eine XSS-Lücke in Google Caja gefunden habe, das dazu dient, HTML und Javascript sicher in eigene Seiten einzubetten. Da Google Sites später noch eine ungepatchte Version von Caja nutzte, überprüfte Gillier diese auch auf seine XSS-Lücke. Dabei fiel ihm auf, dass der Caja-Server von Google Sites keine beliebigen externen Ressourcen lädt, sondern nur Ressourcen von Google selbst.

Der Server liefert interne Inhalte

Allerdings, so schreibt Gillier, ist es dank Googles Cloud-Diensten "sehr einfach, beliebigen Code auf Google-Servern zu hosten und auszuführen". Der Forscher hostete daraufhin eine Javascript-Datei auf Googles App Engine, verwies in der Google-Sites-Webseite darauf und Caja besorgte sich diese Datei wie gewünscht. Die Log-Dateien der App Engine zeigten jedoch, dass Caja dazu über eine private IP-Adresse des internen Netzes von Google auf die Datei zugegriffen hatte.

Weiter schreibt der Forscher, dass er diese private IP-Adresse wiederum auf seiner Google-Sites-Webseite als externe Ressource eingetragen habe und Caja lieferte tatsächlich die Inhalte, die auf der privaten IP-Adresse gehostet worden sind. Diese Art Angriff wird Server Side Request Forgery (SSRF) genannt.

So habe Gillier wie erwähnt Zugriff auf die Server-Status-Verwaltung einzelner Borglets erhalten. Darüber konnte Gillier auch einzelne Prozessor-Jobs einsehen. Demnach liefen auf diesen Servern sämtliche bekannten Google-Werkzeuge wie etwa Mapreduce oder GFS. Ebenso nutze Borg analog zu Kubernetes natürlich Container und Google setze auch hier auf Gvisor.

Gillier verweist darüber hinaus explizit darauf, dass der Zugriff auf die Borglet-Verwaltung keine Authentifizierung nutze und der Forscher nur deshalb aus dem SSRF-Angriff auch erfolgreich Informationen ableiten konnte. Der Zugriff auf weitere Dateien oder gar das Ausführen von Code auf Googles internen Servern gelang dem Forscher jedoch nicht. Die Lücke sei von Google innerhalb von nur etwa zwei Tagen im Laufe eines Wochenendes geschlossen worden. Gillier hat eine Prämie für das Melden der Lücke erhalten.



Anzeige
Spiele-Angebote
  1. 4,99€
  2. 4,99€
  3. 4,99€
  4. (u. a. Division 2: Standard Edition, Call of Duty: Black Ops 4, Red Dead Redemption 2)

Marco22 24. Jul 2018

Klar, nicht sehr schwerwiegend. Aber so wie ich es dem Bericht entnommen habe, konnte er...


Folgen Sie uns
       


Parrot Anafi Thermal angesehen

Die Anafi Thermal kann dank Wärmebildsensor Temperaturdaten von -10 bis 400° Celsius messen.

Parrot Anafi Thermal angesehen Video aufrufen
Orientierungshilfe: Wie Webseiten Nutzer tracken dürfen - und wie nicht
Orientierungshilfe
Wie Webseiten Nutzer tracken dürfen - und wie nicht

Für viele Anbieter dürfte es schwierig werden, ihre Nutzer wie bisher zu tracken. In monatelangen Beratungen haben die deutschen Datenschützer eine 25-seitige Orientierungshilfe zum DSGVO-konformen Tracking ausgearbeitet.
Ein Bericht von Christiane Schulzki-Haddouti

  1. Cookie-Banner Deutsche Datenschützer spielen bei Nutzertracking auf Zeit
  2. Fossa EU erweitert Bug-Bounty-Programm für Open-Source-Software
  3. EU-Zertifizierung Neues Gesetz soll das Internet sicherer machen

Swobbee: Der Wechselakku kommt wieder
Swobbee
Der Wechselakku kommt wieder

Mieten statt kaufen, wechseln statt laden: Das Berliner Startup Swobbee baut eine Infrastruktur mit Lade- und Tauschstationen für Akkus auf. Ein ähnliches Geschäftsmodell ist schon einmal gescheitert. Dieses kann jedoch aufgehen.
Eine Analyse von Werner Pluta

  1. Elektromobilität Seoul will Zweirad-Kraftfahrzeuge und Minibusse austauschen
  2. Rechtsanspruch auf Wallboxen Wohnungswirtschaft warnt vor "Schnellschuss" bei WEG-Reform
  3. Innolith Energy Battery Schweizer Unternehmen entwickelt sehr leistungsfähigen Akku

Elektromobilität: Was hat ein Kanu mit Autos zu tun?
Elektromobilität
Was hat ein Kanu mit Autos zu tun?

Veteranen der deutschen Autoindustrie wollen mit Canoo den Fahrzeugbau und den Vertrieb revolutionieren. Zunächst scheitern die großen Köpfe aber an den kleinen Hürden der Startupwelt.
Ein Bericht von Dirk Kunde

  1. EU Unfall-Fahrtenschreiber in Autos ab 2022 Pflicht
  2. Verkehrssenatorin Fahrverbot für Autos in Berlin gefordert
  3. Ventomobil Mit dem Windrad auf Rekordjagd

    •  /