Der Vorarlberger Simon K. aus Feldkirch hat bei Google eine schwerwiegende Sicherheitslücke aufgespürt und dem US-Konzern gemeldet. Dafür hat ihm das Unternehmen einen Finderlohn von 90.000 US-Dollar zugesprochen, was rund 80.000 Euro entspricht. Wie die Kleine Zeitung berichtet, schreibt der 22-Jährige darüber auf seinem Blog.
Simon K. hat im Alter von 13 Jahren mit dem Programmieren begonnen. Mit etwas Glück, so Simon K. gegenüber dem ORF Vorarlberg, bekomme man Geld.
Die Lücke fand Simon K. auf der Entwicklerplattform Google for Developers. Über manipulierte Session-Cookies gelang es ihm, ohne nötige Authentifizierung beliebigen Code auszuführen. Hacker hätten so aus der Ferne recht einfach schädlichen Code ausführen können. Fachleute sprechen in solchen Fällen von RCE-Angriffen (Remote Code Execution). Die genaue Vorgehensweise beschreibt er auf seiner Webseite.
Google habe die Lücke innerhalb von ein bis zwei Tagen nach der Meldung geschlossen. Simon K. spricht von einem sehr schnellen Handeln. Nach wenigen Wochen sei ihm die Belohnung ausgezahlt worden. Es sei die bislang höchste Summe, die er beim Bug Hunting erhalten habe, sagt er.
Warum der Fehler bei Google bisher niemandem aufgefallen ist, kann Simon K. nach eigenen Worten nicht genau erklären. Es gehöre viel Glück dazu, sagt er dem ORF. Auch Erfahrung im Programmieren helfe, weil man dann wisse, wo Menschen Fehler einbauen.
Laut dem Portal eSecurity Planet betraf die Schwachstelle speziell die Implementierung der Google-DevSite. Der Fund zeige aber, dass das Sicherheitsrisiko auch andere Webanwendungen treffen könnte.
Kommentare (0)