Forscher der Ruhr-Universität Bochum haben Sicherheitslücken in Amazons Clouddiensten gefunden und gemeldet. Das teilten sie jetzt per Pressemeldung mit. Die Schwachstellen hat Amazon in der Zwischenzeit geschlossen.
Das Projekt leitete Jörg Schwenk, Professor für Netz- und Datensicherheit. Ihm zufolge wurden unter anderem Signature Wrapping und Cross-Site Scripting erfolgreich genutzt. „Mit verschiedenen Varianten von ‚XML Signature Wrapping‘-Angriffen ist es uns gelungen, die administrativen Rechte eines beliebigen Cloud-Kunden komplett zu übernehmen“, erklärt sein Mitarbeiter Juraj Somorovsky. „Somit konnten wir etwa in der Cloud des Opfers neue Instanzen anlegen, Images erstellen oder auch löschen.“
Die Forscher vermuten, dass viele Cloud-Angebote anfällig gegen Signature-Wrapping-Attacken sind, da Webservice-Standards nach ihrer Einschätzung Performance und Sicherheit unvereinbar machen. Das Problem nehmen sie nun selbst in die Hand: „Wir arbeiten aber an einer hochperformanten Lösung, die keine der bekannten Sicherheitslücken mehr aufweist“, sagt Schwenk.
Darüber hinaus entdeckten die Forscher Lücken im AWS-Interface und im Amazon-Shop, über die sie ausführbaren Skriptcode einschleusen konnten – also klassisches Cross-Site Scripting. „Wir hatten ungehinderten Zugang zu allen Daten des Kunden, darunter Authentifizierungsdaten, Tokens und selbst Passwörter im Klartext“, berichtet ein weiterer Mitarbeiter des Projekts, Mario Heiderich. Im gemeinsamen Log-in-Screen sieht der Forscher an sich schon ein Gefahrenpotential: „Es ist eine Kettenreaktion: Eine Sicherheitslücke im komplexen Amazon-Shop verursacht immer direkt auch eine Lücke in der Amazon-Cloud.“
Mehr als die Hälfte aller Infostealer-Angriffe treffen Unternehmensrechner.
Das iPhone 15 Pro Max ist das meistverkaufte Smartphone im ersten Quartal. Das Galaxy S24…
Die Passwort-Alternative Passkeys überholt Einmalpasswörter bei der Zwei-Faktor-Authentifizierung. Auch Microsoft setzt sich aktiv für die…
Der Anteil steigt seit 2020 um 34 Prozentpunkte. Allein 2023 erfasst Kaspersky rund 10 Millionen…
Salesforce forciert den Ausbau seiner Industry Clouds. Mit ihrem Prozesswissen könnten deutsche IT-Dienstleister davon profitieren.
Bisher unbekannter Bedrohungsakteur versucht über gefälschte IP Scanner Software-Domänen Zugriff auf IT-Umgebungen zu erlangen.