Google Cloud Shell: Cross-Site WebSocket Hijacking
Zusammenfassung
Cloud Shell, eine browserbasierte Terminal-Umgebung auf der Google Cloud Platform, prüfte den Ursprung von WebSocket-Verbindungen nicht ausreichend. Eine Cross-Origin-WebSocket-Anfrage von einer vom Angreifer kontrollierten Webseite kann eine aktive Cloud-Shell-Sitzung übernehmen und das OAuth-Zugriffstoken des Benutzers abgreifen. Der Angriff setzt voraus, dass das Opfer eine aktive Sitzung hat und die bösartige Seite besucht; Kunden müssen nichts unternehmen, da Google den Dienst behoben hat.
Betroffen
- Google Cloud Cloud Shell vor 2026-07-22 (Versionen werden über das Datum identifiziert, es sind keine Versionsnummern veröffentlicht)
- Standardkonfiguration: nicht betroffen
Behoben in
- Serverseitig von Google am 22. Juli 2026 behoben (CVE-Eintrag); Eintrag in den Release Notes datiert auf 28. Juli 2026
- Korrektur: strengere Validierung des Origin-Headers bei WebSocket-Upgrades und eine Liste erlaubter Ports für TCP- und SSH-Tunnel
Umgehung
- Keine erforderlich; Google hat den Dienst behoben.
Ausnutzung
- CISA SSVC: Ausnutzung keine, automatisierbar nein, technische Auswirkung total.
- Nicht im CISA KEV aufgeführt (laut sekundärem Feed); eine andere Datenbank führt "Not exploited".
- Eine öffentliche Forschungsveröffentlichung (WSSnatch) beschreibt eine demonstrierte Angriffskette, die eine aktive Sitzung voraussetzt; nicht reproduziert.
- EPSS etwa 0,2 %.
- Unbekannt, ob in der Praxis Kundentoken gestohlen wurden.
Unsere Empfehlung
- Kein Patch und keine Konfigurationsänderung durch Kunden erforderlich.
- Google-Cloud-Audit-Logs für Administratoraktivitäten in Cloud Shell vor dem 22. Juli 2026 prüfen, insbesondere wenn Sitzungen beim Surfen auf unbekannten Webseiten genutzt wurden.
- Bei Auffälligkeiten Zugangsdaten rotieren und aktive Sitzungen widerrufen.
- IAM-Rollen auf das notwendige Minimum beschränken und keine unbekannten Webseiten besuchen, während man in Cloud-Konsolen oder aktiven Terminals angemeldet ist.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Google Cloud Shell release notes (July 28, 2026) docs.cloud.google.com
- Cymulate research: WSSnatch token theft cymulate.com
- GitHub CVE alert feed (CVE-2026-85267) github.com
- VulnCheck/Vulners VulnRichment entry vulners.com
- CyStack vulnerability database entry cystack.net
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 01:32.
Referenzen der NVD (1)
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.