Ein 22-jähriger Programmierer aus Feldkirch hat eine kritische Sicherheitslücke im Google-Konzern aufgespürt, die selbst internen Fachleuten entgangen war. Die Schwachstelle hätte Angreifern den Weg in interne Systeme und zu sensiblen Nutzerdaten öffnen können. Google schloss das Leck innerhalb von 48 Stunden.
Zugriff auf sensible Daten drohte
Die von Köck aufgespürte Schwachstelle war offenbar zig Fachleuten bei Google selbst entgangen.
I got $90,000 for a RCE in Google.https://t.co/cjm7ZaNMeq
Die potenziellen Folgen wären gravierend gewesen, sollte man den Angaben des jungen Experten Glauben schenken.
Durch die Sicherheitslücke wäre man wahrscheinlich relativ sicher in deren interne Systeme gekommen und hätte Zugriff auf sensible Daten von Nutzerinnen und Nutzern oder andere böswillige Dinge ausprobieren können.
‼️ Google awarded $90,000 for a flaw that let anyone run code on https://t.co/ubUdOlSGQ5 without an account.DevSite signed its session cookies with a secret it also handed out inside the cookie, so researcher Simon Köck could forge his own.Google took two months to fix it. pic.twitter.com/sHD1ho0RsF
Mit dem Programmieren beschäftigt sich Köck bereits, seit er 13 Jahre alt ist. Seine neueste Leidenschaft ist das sogenannte Bug Bounty Hunting, bei dem Experten gezielt mit Erlaubnis der betroffenen Unternehmen nach Software-Schwachstellen suchen.
Man nennt es Bug Bounty Hunting, wenn Unternehmen erlauben, dass man nach Sicherheitslücken sucht und sie dann privat meldet. Mit etwas Glück bekommt man Geld – quasi Bounty.
Simon Koeck (@soeckly) earned $90,000 from Google after finding a DevSite vulnerability that let him run commands on Google's servers.The attack came down to 3 security mistakes that chained together.1. A secret exposed in a session cookieGoogle's DevSite stored a pickled…
— https://x.com/infinitelogins/status/2112892669701558302
Schnelle Reaktion von Google und bisherige Funde
Binnen 24 bis 48 Stunden wurde die Lücke geschlossen, nachdem die private Meldung eingegangen war. Nach zwei oder drei Wochen erfolgte schließlich die Auszahlung des Geldes an den jungen Vorarlberger.
Für Köck war dies zwar der bisher lukrativste, aber bei Weitem nicht sein einziger Fund. Bei der Stadt Wien entdeckte und meldete er nach eigenen Angaben beispielsweise 15 kritische Sicherheitslücken. Während ältere oder fehlerhaft programmierte Systeme oft ein leichtes Ziel darstellen, gestaltete sich die Situation bei dem Technologiegiganten wesentlich komplizierter.
📌 Google reportedly paid $90K for a flaw allowing unauthenticated code execution on https://t.co/t6ZNHvmJ5q.Researcher Simon Köck found a weakness in session-cookie signing. Google fixed it after two months, per the report.🔎 https://t.co/3IVcXRYho9
Die Frage höre ich oft, sie ist eine gute Frage – ich weiß es auch nicht. Es gehört viel Glück dazu. Und was auch hilft, ist Erfahrung im Programmieren. Man weiß dann, wo die Leute Fehler einbauen.
Köck will auch in Zukunft weiter nach Sicherheitslücken bei Unternehmen suchen, während noch nicht feststeht, was er mit dem ausgezahlten Geld anfangen wird.
Weiterlesen
