Google stopft schwerwiegendes Sicherheitsloch in Gmail

Google hat eine schwerwiegende Sicherheitslücke in seinen E-Mail-Servern für Gmail und die G Suite geschlossen. Der Fehler erlaubte es, im Namen von Gmail- oder G-Suite-Nutzern gefälschte E-Mails zu verschicken. Ein Update stellte Google erst bereit, nachdem Details zu der Anfälligkeit veröffentlicht wurden.

Entdeckt wurde die Schachstelle von der Sicherheitsforscherin Allison Husain, die Google bereits Anfang April über das Problem informierte. Ihr zufolge bestätigte Google sogar innerhalb von zwei Wochen, ohne sich jedoch zu einem möglichen Update zu äußern. Anfang August, also 120 Tage nachdem sie den Fehler gemeldet hatte, setzte sie Google eine Frist zum 17. August. Drei Tage vor deren Ablauf kündigte Google an, das Loch bis zum 17. September zu stopfen.

Husain machte die Details der Schwachstelle schließlich am Mittwoch in einem Blogeintrag öffentlich – 137 Tage nach ihrem ursprünglichen Fehlerbericht. Daraufhin reagierte Google innerhalb von sieben Stunden mit einem Patch.

Der von der Forscherin entwickelte Spoofing-Angriff macht sich den Umstand zunutze, dass Hacker E-Mail-Server auf dem Gmail- oder G-Suite-Backend ausführen und so konfigurieren können, dass sie Spoofing-E-Mails der Angreifer weiterleiten. Mithilfe einer Funktion namens „Change Envelope Recipient“ lassen sich anschließend eigene Router-Regeln für eigehende E-Mails erstellen, bei denen der Absender durch die Identität eines anderen Gmail- oder G-Suite-Nutzers ersetzt wird.

Diese Methode bietet offenbar den Vorteil, dass die weitergeleiteten E-Mails durch Gmail und G Suite geprüft und als den Sicherheitsstandards SPF und DMARC entsprechend eingestuft werden. Dadurch wird die Wahrscheinlichkeit erhöht, dass das E-Mail-System des Empfängers die gefälschten Nachrichten als echt erkennt.

„Da die Nachricht aus dem Backend von Google stammt, ist es zudem wahrscheinlich, dass die Nachricht eine niedrigere Spam-Punktzahl hat und daher seltener gefiltert werden sollte“, ergänzte Husain. Das Problem sei zudem auf die Google-Dienste beschränkt.

Google ist dafür bekannt, dass es beispielsweise von seinem Project Zero entdeckte Schwachstellen in Produkten Dritter in der Regel ohne Ausnahme nach Ablauf einer Frist von 90 Tagen veröffentlicht. Unter Umständen gewährt Google zwar auch einen Aufschub, das von Google gegenüber Husain gezeigte Verhalten hätte Mitarbeiter des Project Zero wohl stets veranlasst, ihre Erkenntnisse ebenfalls offenzulegen.

Husain betont in ihrem Blogeintrag, dass sie keinerlei Groll gegen Google hegt. Der Kontakt zu Googles Sicherheitsteam sei stets freundlich. Auch habe Google nie versucht, ihre Offenlegung der Schwachstelle zu verhindern. Googles prompte Reaktion auf ihren Blogbeitrag bezeichnet sie in einem Update sogar als „herausragend“.