Firefox: Pocket-Dienst konnte für Webserver-Angriffe manipuliert werden

Wie Sicherheitsforscher herausgefunden haben, ließ sich der Pocket-Dienst des Firefox-Browsers sehr einfach ausnutzen um detaillierte Informationen von Cloudservern zu erhalten. Über einen Server in der Amazon-Cloud konnte mit dem Pocket-Dienst und Firefox die Localhost-Website "127.0.0.1" aufgerufen werden. Über die Server-Status-Seite wurde dann die Quell- und Ziel-IP sowie auch die verwendete Apache-Version preisgegeben. Glücklicherweise kann das Status-Modul auch einfach gesperrt werden.

Über eine einfach http-Umleitung ist es den Sicherheitsexperten dann gelungen Daten aus der passwd-Datei des Webservers zu extrahieren. Dies bedeutete das Nutzernamen und die dazugehörigen Passwörter abgefangen werden konnten.

Der Pocket-Dienst des Firefox steht nun in der Kritik.

(Bild: Pocket-Dienst des Firefox-Browsers)