Abo
  • Services:
Anzeige
Der Pocket-Einbau in den Firefox-Browser ist umstritten.
Der Pocket-Einbau in den Firefox-Browser ist umstritten. (Bild: Screenshot: Golem.de)

Später lesen: Schwerwiegende Backend-Lücken in Pocket nachgewiesen

Der Pocket-Einbau in den Firefox-Browser ist umstritten.
Der Pocket-Einbau in den Firefox-Browser ist umstritten. (Bild: Screenshot: Golem.de)

Ohne viel Aufwand hat ein Sicherheitsforscher auf die Backend-Infrastruktur von Pocket zugreifen können. Die Fehler sind zwar inzwischen behoben, dem Streit um die Aufnahme der App zum späteren Lesen in den Firefox-Browser könnte dies aber neuen Anschub geben.

Anzeige

Mit der App Pocket lassen sich Webseiten zum späteren Lesen speichern. Mozilla stellt den Firefox-Nutzern diese Funktion über eine Integration in den Browser bereit. Doch ein Sicherheitsforscher hat nun gezeigt, wie leicht die Backends des Dienstes angreifbar waren. Dazu benötigte er nur einen Browser, die App und einen Server in der Amazon-Cloud. Kritiker der Kooperation von Mozilla mit Pocket sehen sich damit erneut bestätigt, auch wenn Pocket schnell auf die gemeldeten Fehler reagiert hat.

Unerwartet leichter Zugang

Laut dem Experten war es möglich, an detaillierte Informationen zu den eingesetzten Servern zu gelangen, indem die URL http://127.0.0.1/server-status in die Pocket-Liste eingetragen wurde. Da der Server einer vermeintlichen Eingabe von Localhost vertraute, wurden die Ausgaben des Status-Moduls mit dem Android-Smartphone des Entwicklers synchronisiert.

Dadurch war es einfach möglich, die Version des eingesetzten Apache-Servers zu erfahren, ebenso wie Quell- und Ziel-IP-Adressen des internen Netzwerks, spezielle Parameter der derzeit verarbeiteten URLs anderer Nutzer oder auch Abfrageparameter für den Server selbst. Auf den meisten Servern sei diese Art der Ausgaben zwar abgeschaltet gewesen, auf einer kleinen Menge von Servern jedoch verfügbar geblieben.

Zugriff auf Cloud-Metadaten und /etc/passwd

Dank einfacher DNS-Abfragen war dem Forscher klar, dass Pocket die Amazon-Cloud für das Backend verwendet. Amazon bietet seinen Kunden einen Metadaten-Dienst, der intern ohne Authentifizierung genutzt werden kann. Bei der Eingabe der dazugehörigen URLs in Pocket erschienen die Ergebnisse wiederum auf dem Smartphone. Dies gab Aufschluss über die gesamte Cloud-Konfiguration von Pocket.

Über einen speziell manipulierten Link in der Pocket-Liste gelang es dem Forscher darüber hinaus, eine HTTP-Umleitung zu erzwingen. So wurden die Inhalte der Datei /etc/passwd synchronisiert, die Informationen zu Nutzern der Server enthält und Aufschluss über deren Passwörter geben kann. Letztlich zeigte auch der Prozessstatus (/proc/self/status) an, dass der Dienst mit Root-Rechten lief.

Damit hätten private SSH-Schlüssel aus den Verzeichnissen der Nutzer entwendet werden können, um sich anschließend direkt Vollzugriff auf die Infrastruktur zu verschaffen.

Diskussion um Pocket-Integration in Firefox

Die verblüffende Einfachheit des Angriffs lässt Pocket als potenziell sehr unsicher erscheinen. Das gilt dann natürlich auch für die Daten der Nutzer. So fragen sich Kommentatoren, etwa bei Hackernews, warum Mozilla den Dienst überhaupt in den Browser eingebaut habe, dieser gefährde schließlich die Anwender.

Auch die grundsätzliche Kritik daran, dass ein nicht freier Dienst fest in den Browser integriert wurde, wird von einigen nun wieder vorgetragen. Ob Mozilla deshalb von seinem Verhalten abrückt, bleibt aber abzuwarten und ist eher unwahrscheinlich.


eye home zur Startseite
tolc 21. Aug 2015

Danke ebenfalls für den Hinweis. Hab ich gleich mal deaktiviert, obwohl bei mir die...

sulawyo 20. Aug 2015

Pocket kann in Firefox via 'about:config' abgeschaltet werden: Einfach 'browser.pocket...

TC 20. Aug 2015

das Symbol entfernt. dafür gibts doch schon Bookmarks

Baron Münchhausen. 20. Aug 2015

Zu was es führt sieht man. Total verrückte Ideen.

NWM 20. Aug 2015

Super praktisch, 1. es gibt eine App die ohne Browser die in Pocket gespeicherten Inhalte...



Anzeige

Stellenmarkt
  1. Ratbacher GmbH, Stuttgart
  2. Vodafone GmbH, Düsseldorf
  3. Daimler AG, Stuttgart
  4. Dataport, Hamburg, Altenholz bei Kiel


Anzeige
Spiele-Angebote
  1. 1,49€
  2. 7,99€
  3. 1,49€

Folgen Sie uns
       


  1. Vor Bundestagswahl

    Facebook löscht Zehntausende Spammer-Konten

  2. Bilderkennung von Google

    Erste Hinweise auf Lens in der Google-App

  3. Open Source

    Node.js-Führung zerstreitet sich über Code-of-Conduct

  4. Enigma ICO

    Kryptowährungshacker erbeuten halbe Million US-Dollar

  5. SNES Classic Mini

    Mario, Link und Samus machen den Moonwalk

  6. Bixby

    Samsungs Sprachassistent kommt auf Englisch nach Deutschland

  7. Apache-Lizenz 2.0

    OpenSSL-Lizenzwechsel führt zu Code-Entfernungen

  8. Knights Mill

    Intels Xeon Phi hat 72 Kerne und etwas Netburst

  9. Redstone 3

    Microsoft entfernt Refs-Formatierung von Windows 10 Pro

  10. Unsichere Passwörter

    Angriffe auf Microsoft-Konten um 300 Prozent gestiegen



Haben wir etwas übersehen?

E-Mail an news@golem.de


Anzeige
Nach Anschlag in Charlottesville: Nazis raus - aber nur aus PR-Gründen
Nach Anschlag in Charlottesville
Nazis raus - aber nur aus PR-Gründen
  1. Bundesinnenministerium Neues Online-Bürgerportal kostet 500 Millionen Euro
  2. EU-Transparenz EuGH bekräftigt nachträglichen Zugang zu Gerichtsakten
  3. Rücknahmepflicht Elektronikschrott wird kaum zurückgegeben

Radeon RX Vega 64 im Test: Schnell und durstig mit Potenzial
Radeon RX Vega 64 im Test
Schnell und durstig mit Potenzial
  1. Radeon RX Vega Mining-Treiber steigert MH/s deutlich
  2. Radeon RX Vega 56 im Test AMD positioniert sich in der Mitte
  3. Workstation AMD bringt Radeon Pro WX 9100

Threadripper 1950X und 1920X im Test: AMD hat die schnellste Desktop-CPU
Threadripper 1950X und 1920X im Test
AMD hat die schnellste Desktop-CPU
  1. Ryzen AMD bestätigt Compiler-Fehler unter Linux
  2. CPU Achtkerniger Threadripper erscheint Ende August
  3. Ryzen 3 1300X und 1200 im Test Harte Gegner für Intels Core i3

  1. Re: Was bringts? Wenn wieder

    genussge | 16:52

  2. Re: (Noch) aktuelle deutsche Rechtslage noch...

    keldana | 16:52

  3. Dinge die die Smartphone-Welt nicht braucht

    Flasher | 16:52

  4. Re: 2,5 Slots sind zu viel

    Schattenwerk | 16:51

  5. Re: Gehts noch?

    elf | 16:51


  1. 16:30

  2. 16:01

  3. 15:54

  4. 14:54

  5. 14:42

  6. 14:32

  7. 13:00

  8. 13:00


  1. Themen
  2. A
  3. B
  4. C
  5. D
  6. E
  7. F
  8. G
  9. H
  10. I
  11. J
  12. K
  13. L
  14. M
  15. N
  16. O
  17. P
  18. Q
  19. R
  20. S
  21. T
  22. U
  23. V
  24. W
  25. X
  26. Y
  27. Z
  28. #
 
    •  / 
    Zum Artikel