Google stopft schwerwiegendes Sicherheitsloch in Gmail

Google hat eine schwerwiegende Sicherheitslücke in seinen E-Mail-Servern für Gmail und die G Suite geschlossen. Der Fehler erlaubte es, im Namen von Gmail- oder G-Suite-Nutzern gefälschte E-Mails zu verschicken. Ein Update stellte Google erst bereit, nachdem Details zu der Anfälligkeit veröffentlicht wurden.

Entdeckt wurde die Schachstelle von der Sicherheitsforscherin Allison Husain, die Google bereits Anfang April über das Problem informierte. Ihr zufolge bestätigte Google sogar innerhalb von zwei Wochen, ohne sich jedoch zu einem möglichen Update zu äußern. Anfang August, also 120 Tage nachdem sie den Fehler gemeldet hatte, setzte sie Google eine Frist zum 17. August. Drei Tage vor deren Ablauf kündigte Google an, das Loch bis zum 17. September zu stopfen.

Husain machte die Details der Schwachstelle schließlich am Mittwoch in einem Blogeintrag öffentlich – 137 Tage nach ihrem ursprünglichen Fehlerbericht. Daraufhin reagierte Google innerhalb von sieben Stunden mit einem Patch.

Der von der Forscherin entwickelte Spoofing-Angriff macht sich den Umstand zunutze, dass Hacker E-Mail-Server auf dem Gmail- oder G-Suite-Backend ausführen und so konfigurieren können, dass sie Spoofing-E-Mails der Angreifer weiterleiten. Mithilfe einer Funktion namens „Change Envelope Recipient“ lassen sich anschließend eigene Router-Regeln für eigehende E-Mails erstellen, bei denen der Absender durch die Identität eines anderen Gmail- oder G-Suite-Nutzers ersetzt wird.

Diese Methode bietet offenbar den Vorteil, dass die weitergeleiteten E-Mails durch Gmail und G Suite geprüft und als den Sicherheitsstandards SPF und DMARC entsprechend eingestuft werden. Dadurch wird die Wahrscheinlichkeit erhöht, dass das E-Mail-System des Empfängers die gefälschten Nachrichten als echt erkennt.

„Da die Nachricht aus dem Backend von Google stammt, ist es zudem wahrscheinlich, dass die Nachricht eine niedrigere Spam-Punktzahl hat und daher seltener gefiltert werden sollte“, ergänzte Husain. Das Problem sei zudem auf die Google-Dienste beschränkt.

Google ist dafür bekannt, dass es beispielsweise von seinem Project Zero entdeckte Schwachstellen in Produkten Dritter in der Regel ohne Ausnahme nach Ablauf einer Frist von 90 Tagen veröffentlicht. Unter Umständen gewährt Google zwar auch einen Aufschub, das von Google gegenüber Husain gezeigte Verhalten hätte Mitarbeiter des Project Zero wohl stets veranlasst, ihre Erkenntnisse ebenfalls offenzulegen.

Husain betont in ihrem Blogeintrag, dass sie keinerlei Groll gegen Google hegt. Der Kontakt zu Googles Sicherheitsteam sei stets freundlich. Auch habe Google nie versucht, ihre Offenlegung der Schwachstelle zu verhindern. Googles prompte Reaktion auf ihren Blogbeitrag bezeichnet sie in einem Update sogar als „herausragend“.

ANZEIGE

Kollaborationsplattform Slack: Effizient arbeiten – egal von wo

Vor COVID-19 war Remote-Work für viele Unternehmen fast undenkbar. Heute haben sie erkannt, dass es sehr gut funktionieren kann, wenn die Rahmenbedingungen stimmen. Erfahren Sie in diesem Webinar, wie Sie mit der Kollaborationslösung Slack auf die veränderten Arbeitsbedingungen optimal reagieren können.

Stefan Beiersmann

Stefan unterstützt seit 2006 als Freier Mitarbeiter die ZDNet-Redaktion. Wenn andere noch schlafen, sichtet er bereits die Nachrichtenlage, sodass die ersten News des Tages meistens von ihm stammen.

Recent Posts

Google-Forscher entdeckt schwerwiegende Sicherheitslücke in Mozillas NSS-Bibliothek

Ein Angreifer kann Speicherbereiche mit eigenem Code überschreiben. Der Mozilla-Browser Firefox ist aber nicht betroffen.

7 Stunden ago

Forscher warnen vor unsicheren Cloud-Computing-Diensten

Sie richten 320 Honeypots mit unsicher konfigurieren Diensten sowie schwachen Zugangskennwörtern ein. Bereits nach 24…

7 Stunden ago

Online-Handel unter Bot-Beschuss

Unter dem Motto „Es ist ein Bot entsprungen“ machen Hacker dem Online-Handel dieses Weihnachten erneut…

8 Stunden ago

Mit Neo zu Cloud-Native-Ufern

OutSystems fokussiert sich auf Lösungen für die Low-Code-Programmierung. Dieses Verfahren zur Softwareerstellung ohne tiefgehende Programmierkenntnisse…

8 Stunden ago

Netzwerktransformation mit NaaS

Viele Netzwerk-Admins achten in erster Linie auf die Konnektivität. Netzwerk as a Service (NaaS) kann…

12 Stunden ago

ONLYOFFICE: Partnerprogramm bietet zahlreiche Vorteile für neue Reseller

Wer seinen Kunden im Rahmen seiner Softwarelösung, IT-Services oder einfach nur als Reseller die Open-Source-Kollaborationsplattform…

14 Stunden ago