DHCP Flood: Googles Cloud-VMs lassen sich per DHCP übernehmen

Angreifer könnten Root-Rechte in fremden VMs der Google-Cloud erhalten. Praktische Angriffe sind unwahrscheinlich, Updates gibt es nicht.

Artikel veröffentlicht am ,
Die Lücke in der Google-Cloud ist weiterhin nicht behoben.
Die Lücke in der Google-Cloud ist weiterhin nicht behoben. (Bild: Carsten Koall/Getty Images)

Unter bestimmten Umständen kann es Angreifern gelingen, virtuelle Maschinen (VM) in Googles Compute Engine vollständig zu übernehmen und Root-Rechte zu erlangen. Gezielt ausgenutzt wird dabei eine sogenannte DHCP-Flood, wie der Sicherheitsforscher Imre Rad auf Github in einer Zusammenfassung schreibt.

Stellenmarkt
  1. Firewall Security Architekt (m/w/d)
    Radeberger Gruppe KG, Frankfurt am Main
  2. IT-Systemelektroniker/-in / Systeminformatiker/-in / Kommunikationselektroniker/-- in für den Bereich Telekommunikation (w/m/d)
    Universitätsklinikum Tübingen, Tübingen
Detailsuche

Demnach ist der Fehler Google bereits seit vergangenem September bekannt, ein Update steht aber immer noch nicht bereit. Wie Rad schreibt, müssen für einen erfolgreichen Angriff auf Dritte jedoch einige enge Voraussetzungen erfüllt sein, so dass eine praktische und großangelegte Ausnutzung der Sicherheitslücke wohl wenig wahrscheinlich erscheint.

Ursache für den Angriff sei ein schwacher Zufallszahlengenerator in der ISC-Implementierung des DHCP-Clients sowie eine "unglückliche Kombination zusätzlicher Faktoren". Zu Letzterem gehört, dass sowohl die Prozess-ID als auch die Mac-Adresse erratbar seien. Beide werden aber zusammen mit der Unix-Zeit zum Prozessstart als Ausgangslage für eine Zufallszahl (XID) verwendet, die der DHCP-Client nutzt, um mit den Servern von Google zu kommunizieren.

Die Idee des Angriffs ist es nun, die angegriffenen Server so lange mit DHCP-Paketen samt der XID zu überfluten, bis der Client die eigenen Serverpakete akzeptiert statt jene von Google. Über diesen nun selbst kontrollierten Metadaten-Server lassen sich dann SSH-Schlüssel verteilen, um sich mit Root-Rechten anzumelden. Ein ähnlicher Weg zum Imitieren des Metadaten-Servers von Google wurde bereits vor über einem Jahr als Angriff beschrieben.

Einige Einschränkungen und wenig Reaktion von Google

Golem Akademie
  1. Dive-in-Workshop: Kubernetes
    17./19./24./26. August 2021, online
  2. Terraform mit AWS
    14./15. September 2021, online
  3. OpenShift Installation & Administration
    9.-11. August 2021, online
Weitere IT-Trainings

Für einen erfolgreichen Angriff muss, wie erwähnt, die XID korrekt ermittelt werden, was durch den unzureichenden Zufallszahlengenerator erleichtert wird. Darüber hinaus müssen sich beide Systeme, also angegriffener Client und der imitierte Metadaten-Server, im gleichen Subnetz befinden. Ebenso müsste der Zielserver entweder neu starten oder sein DHCP-Lease erneuern.

Um tatsächlich fremde VMs zu übernehmen, müssten darüber hinaus deren interne IP-Adresse bekannt und deren Firewall vollständig offen sein. Das dürfte einen erfolgreichen Angriff zwar sehr unwahrscheinlich machen. Der Forscher Rad hält dies dennoch für möglich und empfiehlt deshalb einige Vorsichtsmaßnahmen gegen den von ihm beschriebenen Angriff.

Tolle Technik-Deals und viele weitere Schnäppchen

Der Forscher schreibt darüber hinaus, dass Google auch nach mehreren Nachfragen zum Status des Fehlerberichts wohl zuletzt Anfang Dezember zurückhaltend geantwortet habe. Nach etwa einem halben Jahr hat sich Rad letztlich zur Veröffentlichung der von ihm gefundenen Lücke entschieden.

Bitte aktivieren Sie Javascript.
Oder nutzen Sie das Golem-pur-Angebot
und lesen Golem.de
  • ohne Werbung
  • mit ausgeschaltetem Javascript
  • mit RSS-Volltext-Feed


Aktuell auf der Startseite von Golem.de
Star Wars
Youtuber bekommt für Deep Fakes Job bei Lucasfilm

Mit Deepfakes schafft Shamook überzeugendere Varianten von Star-Wars-Figuren, als es Disney je gelungen ist. Jetzt arbeitet er bei ILM.

Star Wars: Youtuber bekommt für Deep Fakes Job bei Lucasfilm
Artikel
  1. Apple: MacOS Monterey nun doch mit Live Text für Intel-Macs
    Apple
    MacOS Monterey nun doch mit Live Text für Intel-Macs

    Apple macht einen Rückzieher: Intel-Macs bleiben wichtige Neuerungen im neuen Betriebssystem doch nicht vollkommen versagt.

  2. Flight Simulator im Benchmark-Test: Sim Update 5 lässt Performance abheben
    Flight Simulator im Benchmark-Test
    Sim Update 5 lässt Performance abheben

    Die Optimierungen bei Bildrate und Speicherbedarf sind derart immens, dass wir kaum glauben können, noch den Flight Simulator zu spielen.
    Ein Test von Marc Sauter

  3. Apple: Airtags sollen nicht mit Kinderschutz-Knopfzellen genutzt werden
    Apple
    Airtags sollen nicht mit Kinderschutz-Knopfzellen genutzt werden

    Knopfzellen mit bitterer Beschichtung sollen Kinder vom Verschlucken abhalten, Apple will sie aber nicht in Airtags sehen.

bootstorm 30. Jun 2021 / Themenstart

Der Angreifer sitzt mit auf der selben Broadcastdomain, wie das NIC?

tatiplut 30. Jun 2021 / Themenstart

Ins gleiche Subnetz zu kommen (oder eine VM mit komplett offener Firewall zu finden) ist...

Kommentieren



Du willst dich mit Golem.de beruflich verändern oder weiterbilden?
Zum Stellenmarkt
Zur Akademie
Zum Coaching
  • Schnäppchen, Rabatte und Top-Angebote
    Die besten Deals des Tages
    Schnäppchen • Bosch Professional günstiger • Acer Chromebooks zu Bestpreisen • EA-Spiele (PC) günstiger (u. a. Battlefield 5 5,99€) • Samsung-Monitore Amazon Exclusive günstiger (u. a. G7 32" QLED Curved WQHD 240Hz 559€) • AKRacing Core EX-Wide SE Gaming-Stuhl 229€ [Werbung]
    •  /