Abo
  • Services:
Anzeige
Der Pocket-Einbau in den Firefox-Browser ist umstritten.
Der Pocket-Einbau in den Firefox-Browser ist umstritten. (Bild: Screenshot: Golem.de)

Später lesen: Schwerwiegende Backend-Lücken in Pocket nachgewiesen

Der Pocket-Einbau in den Firefox-Browser ist umstritten.
Der Pocket-Einbau in den Firefox-Browser ist umstritten. (Bild: Screenshot: Golem.de)

Ohne viel Aufwand hat ein Sicherheitsforscher auf die Backend-Infrastruktur von Pocket zugreifen können. Die Fehler sind zwar inzwischen behoben, dem Streit um die Aufnahme der App zum späteren Lesen in den Firefox-Browser könnte dies aber neuen Anschub geben.

Anzeige

Mit der App Pocket lassen sich Webseiten zum späteren Lesen speichern. Mozilla stellt den Firefox-Nutzern diese Funktion über eine Integration in den Browser bereit. Doch ein Sicherheitsforscher hat nun gezeigt, wie leicht die Backends des Dienstes angreifbar waren. Dazu benötigte er nur einen Browser, die App und einen Server in der Amazon-Cloud. Kritiker der Kooperation von Mozilla mit Pocket sehen sich damit erneut bestätigt, auch wenn Pocket schnell auf die gemeldeten Fehler reagiert hat.

Unerwartet leichter Zugang

Laut dem Experten war es möglich, an detaillierte Informationen zu den eingesetzten Servern zu gelangen, indem die URL http://127.0.0.1/server-status in die Pocket-Liste eingetragen wurde. Da der Server einer vermeintlichen Eingabe von Localhost vertraute, wurden die Ausgaben des Status-Moduls mit dem Android-Smartphone des Entwicklers synchronisiert.

Dadurch war es einfach möglich, die Version des eingesetzten Apache-Servers zu erfahren, ebenso wie Quell- und Ziel-IP-Adressen des internen Netzwerks, spezielle Parameter der derzeit verarbeiteten URLs anderer Nutzer oder auch Abfrageparameter für den Server selbst. Auf den meisten Servern sei diese Art der Ausgaben zwar abgeschaltet gewesen, auf einer kleinen Menge von Servern jedoch verfügbar geblieben.

Zugriff auf Cloud-Metadaten und /etc/passwd

Dank einfacher DNS-Abfragen war dem Forscher klar, dass Pocket die Amazon-Cloud für das Backend verwendet. Amazon bietet seinen Kunden einen Metadaten-Dienst, der intern ohne Authentifizierung genutzt werden kann. Bei der Eingabe der dazugehörigen URLs in Pocket erschienen die Ergebnisse wiederum auf dem Smartphone. Dies gab Aufschluss über die gesamte Cloud-Konfiguration von Pocket.

Über einen speziell manipulierten Link in der Pocket-Liste gelang es dem Forscher darüber hinaus, eine HTTP-Umleitung zu erzwingen. So wurden die Inhalte der Datei /etc/passwd synchronisiert, die Informationen zu Nutzern der Server enthält und Aufschluss über deren Passwörter geben kann. Letztlich zeigte auch der Prozessstatus (/proc/self/status) an, dass der Dienst mit Root-Rechten lief.

Damit hätten private SSH-Schlüssel aus den Verzeichnissen der Nutzer entwendet werden können, um sich anschließend direkt Vollzugriff auf die Infrastruktur zu verschaffen.

Diskussion um Pocket-Integration in Firefox

Die verblüffende Einfachheit des Angriffs lässt Pocket als potenziell sehr unsicher erscheinen. Das gilt dann natürlich auch für die Daten der Nutzer. So fragen sich Kommentatoren, etwa bei Hackernews, warum Mozilla den Dienst überhaupt in den Browser eingebaut habe, dieser gefährde schließlich die Anwender.

Auch die grundsätzliche Kritik daran, dass ein nicht freier Dienst fest in den Browser integriert wurde, wird von einigen nun wieder vorgetragen. Ob Mozilla deshalb von seinem Verhalten abrückt, bleibt aber abzuwarten und ist eher unwahrscheinlich.


eye home zur Startseite
tolc 21. Aug 2015

Danke ebenfalls für den Hinweis. Hab ich gleich mal deaktiviert, obwohl bei mir die...

sulawyo 20. Aug 2015

Pocket kann in Firefox via 'about:config' abgeschaltet werden: Einfach 'browser.pocket...

TC 20. Aug 2015

das Symbol entfernt. dafür gibts doch schon Bookmarks

Baron Münchhausen. 20. Aug 2015

Zu was es führt sieht man. Total verrückte Ideen.

NWM 20. Aug 2015

Super praktisch, 1. es gibt eine App die ohne Browser die in Pocket gespeicherten Inhalte...



Anzeige

Stellenmarkt
  1. Continental AG, Ingolstadt
  2. Oetker Digital GmbH, Berlin
  3. SOKA-BAU Urlaubs- und Lohnausgleichskasse der Bauwirtschaft, Wiesbaden
  4. consistec Engineering & Consulting GmbH, Saarbrücken


Anzeige
Top-Angebote
  1. 5,99€
  2. 249,90€
  3. 139,90€

Folgen Sie uns
       


  1. Betrugsverdacht

    Amazon Deutschland sperrt willkürlich Marketplace-Händler

  2. Take 2

    GTA 5 bringt weiter Geld in die Kassen

  3. 50 MBit/s

    Bundesland erreicht kompletten Internetausbau ohne Zuschüsse

  4. Microsoft

    Lautloses Surface Pro hält länger durch und bekommt LTE

  5. Matebook X

    Huawei stellt erstes Notebook vor

  6. Smart Home

    Nest bringt Thermostat Ende 2017 nach Deutschland

  7. Biometrie

    Iris-Scanner des Galaxy S8 kann einfach manipuliert werden

  8. Bundesnetzagentur

    Drillisch bekommt eigene Vorwahl zugeteilt

  9. Neuland erforschen

    Deutsches Internet-Institut entsteht in Berlin

  10. Squad

    Valve heuert Entwickler des Kerbal Space Program an



Haben wir etwas übersehen?

E-Mail an news@golem.de


Anzeige
3D-Druck bei der Bahn: Mal eben einen Kleiderhaken für 80 Euro drucken
3D-Druck bei der Bahn
Mal eben einen Kleiderhaken für 80 Euro drucken
  1. Bahnchef Richard Lutz Künftig "kein Ticket mehr für die Bahn" notwendig
  2. Flatrate Öffentliches Fahrradleihen kostet 50 Euro im Jahr
  3. Nextbike Berlins neues Fahrradverleihsystem startet

Google I/O: Google verzückt die Entwickler
Google I/O
Google verzückt die Entwickler
  1. Neue Version im Hands On Android TV bekommt eine vernünftige Kanalübersicht
  2. Play Store Google nimmt sich Apps mit schlechten Bewertungen vor
  3. Daydream Standalone-Headsets auf Preisniveau von Vive und Oculus Rift

Panasonic Lumix GH5 im Test: Die Kamera, auf die wir gewartet haben
Panasonic Lumix GH5 im Test
Die Kamera, auf die wir gewartet haben
  1. Die Woche im Video Scharfes Video, spartanisches Windows, spaßige Switch

  1. Re: Besser so als bisher!

    das_mav | 06:16

  2. Re: Bei unseren Häusern (Isolation+Fenster) is...

    kazhar | 06:11

  3. Re: statt betrüger erwischen ?

    budweiser | 05:48

  4. Re: Also ein Glasfasermultiplexswitch? Hat jemand...

    le_watchdoge | 05:30

  5. Re: Von EWE Tel enttäuscht.

    Aralender | 03:33


  1. 16:58

  2. 16:10

  3. 15:22

  4. 14:59

  5. 14:30

  6. 14:20

  7. 13:36

  8. 13:20


  1. Themen
  2. A
  3. B
  4. C
  5. D
  6. E
  7. F
  8. G
  9. H
  10. I
  11. J
  12. K
  13. L
  14. M
  15. N
  16. O
  17. P
  18. Q
  19. R
  20. S
  21. T
  22. U
  23. V
  24. W
  25. X
  26. Y
  27. Z
  28. #
 
    •  / 
    Zum Artikel