Gmail: Google-Fehler ließ Sammeln von Mail-Adressen zu
von caschy | 3 Kommentare
Seit heute gibt es neue Details über eine mittlerweile geschlossene Google-Lücke. Über diese Lücke war es Angreifern möglich, E-Mail-Adressen von Google-Nutzern auszulesen. In Kurzform, vereinfacht runtergebrochen (Details auf der Homepage): man kann mit einem Google-Konto auch Mails aus anderen Konten empfangen. Delegation quasi. Übergibt man das Recht, ein Google-Konto Mail-technisch abzufragen, so muss dies vom Ursprungkonto bestätigt werden. Sicher ist sicher. Diese generierte Sicherheitsabfrage kann man nun bestätigen oder ablehnen.
Lehnt man sie ab, so gelangt man auf eine Übersichtsseite, auf der noch einmal die E-Mail-Adresse zu sehen ist. Diese Seite hat eine spezifische URL mit einer Kombination aus Zahlen und Buchstaben. Diese Seite ist von jedermann aufrufbar, also nicht geschützt. Orin Hafif fand heraus, dass das Relevante in der URL ein Token ist. Er startete eine Attacke, bei der einfach Token ausprobiert wurden – Zahlenkolonnen. Die Ergebnisse, die Google über diese Seiten mit dem neuen Token auswarf, hielt er fest. Ergebnis? 37.000 E-Mail-Adressen. Dann hörte er auf. Die Belohnung von Google? 500 Dollar. Schlimme Lücke? Ansichtssache: Spammer verschicken nach Trial & Error-Prinzip täglich Millionen von E-Mails, irgendeine wird schon einen Empfänger finden.
Wird geladen ...
500 Dollar? Ich dachte dass man bei Google normalerweise mehr bekommt, sogar bei einer XSS-Lücke.
Die Fotos meines Smartphones die auf Google+ gesichert werden, sind auch durch eine URL mit Buchstaben und Zahlen von jedermann einsehbar.
Da kann man auch anfangen, mögliche Tokens auszuprobieren und bekommt unter Umständen ganz interessante Privatbilder von Leuten zu sehen.
Die ersten 3 Sätze dieses Artikels sollten nochmal überarbeitet werden. Liest sich so, als könnte man durch die Lücke Mails aus anderen Konten abrufen…