Bugs im Bug-Tracker: Experte hackt interne Datenbank von Google

Sicherheitslücke, Fehler, Bug Bildquelle: Windell Oskay / Flickr

Sicherheitslücken sind seit jeher ein zentraler Punkt in den Bemühungen der IT-Unternehmen. Google hat sich in der Branche zuletzt aber nicht nur Freunde gemacht, darunter vor allem bei Microsoft, da man etwas zu offensiv bei der Offenlegung von Schwachstellen agiert hat. Entsprechend genüsslich wird so mancher die Entdeckungen des Sicherheitsforschers Alex Birsan lesen. Denn Birsan hat sich mit einigen gewieften Tricks sowie dem Aufspüren von Bugs Zugang auf die interne Bug-Datenbank von Google verschafft und hätte damit ungleich mehr Schaden anrichten können. Denn derartige Fehler hätten es Angreifern ermöglicht, zahlreiche Produkte des Suchmaschinenriesen zu kompromittieren, da Bug-Datenbanken in der Regel auch sicherheitsrelevante Informationen aufweisen (können).

Drei Methoden

Birsan erläutert in einem Blogbeitrag, wie es ihm gelungen ist, in den Issue Tracker von Google einzudringen (via Quartz). Zunächst beobachtete er, wie der Tracker die Übermittlung eines Bugs an Google handhabt. Dabei hat Birsan entdeckt, dass er eine @google.com-E-Mail-Adresse benötigt, um auf die Bug-Datenbank zugreifen zu können.

Diese konnte er mit einem Trick generieren. Einen Zugang zum Bug-Tracker erhielt er auf diese Weise zwar nicht, konnte aber dafür einige andere Dienste nutzen und etwa über Googles interne Fahrzeugflotte GRide einen Wagen bestellen.

Sein zweiter Versuch war noch simpler. Mit der Fake-E-Mail-Adresse konnte er mehrere Tausend gemeldete Probleme als Favoriten markieren (um diese nachverfolgen zu können), was zu Benachrichtigungen zu deren Fortschritt führte. Bei einigen davon bekam er auch eine Beschreibung des eigentlichen Bugs mitgeliefert.

Beim dritten Versuch hat er mit der API des Issue Tracker herumgespielt und dabei einen Weg gefunden, wie man alle Details zu einem Bug bekommen kann, nämlich indem man darüber beantragt, eine Mailadresse aus einem Thread zu entfernen.

Die Bugs hat Birsan natürlich gleich an Google gemeldet, dort hat man diese Lücken auch innerhalb einer Stunde geschlossen. Für den Sicherheitsforscher waren die drei Funde auch lukrativ, da sie mit 15.600 Dollar "Kopfgeld" belohnt worden sind.