Category Archives: Internet

Bundeshack – Lernplattform Ilias mit Sicherheitslücke

Posted on by

Wie wir ja alle erfahren haben, wurde das Außenministerium über einen Hack bei der Bundeswehr erfolgreich angegriffen.

E-Learning als Einfallstor

Wie sich jetzt rausgestellt hat, war es wohl eine Schwachstelle der E-Learning Plattform Ilias . Das DNF-Cert hat heute eine entsprechende Mitteilung zu Ilias veröffentlicht, in der vor dieser RXSS Lücke und noch unentdeckten anderen gewarnt wird, da nicht klar ist, ob es diese Lücke war, die genutzt wurde.

Betroffen davon sind folgende Versionen:

ILIAS < 5.1.24
ILIAS < 5.2.13
ILIAS < 5.3.1

Das CERT spricht zu Recht an, daß wegen der medialen Aufmerksamkeit, alle Scriptkidis nach verwundbaren Illias Installationen suchen werden. Das bedeutet für alle Illias Betreiber, daß Sie Ihre alten Installationen updaten sollten, um die zu erwartenden Angriffe abwehren können.

Quellen:

https://www.golem.de/news/government-hack-hack-on-german-government-via-e-learning-software-ilias-1803-133231.html

„DFN-CERT-2018-0466 ILIAS: Eine Schwachstelle ermöglicht einen Cross-Site-Scripting-Angriff [Linux][Apple][Windows]“

Ethereum – Eclipse Sicherheitslücke behoben

Posted on by

Über solche Meldungen im Bezug auf „Geld“ freut man sich immer:

„Developers of Ethereum, the world’s No. 2 digital currency by market capitalization, have closed a serious security hole that allowed virtually anyone with an Internet connection to manipulate individual users‘ access to the publicly accessible ledger.“

bedeutet, wenn man verhindert, daß sich ein Miner zum Netz verbindet, und er so nur Verbindungen zu Servern von Angreifern aufbauen kann, kann ihm eine geänderte Blockchain untergejubelt und er dazu gebracht werden, daß er u.a. Transaktionen doppelt signiert ( was wie bei BitCoin der eigentliche Job ist ).

Der Eclipse Angriff

Das ganze nennt sich Eclipse Angriff, weil man das eigentliche Netz, wie bei einer Sonnenfinsternis, nicht mehr sehen kann.
offensichtlich war die Software dagegen nicht gewappnet. Weil man das Netz als Korrektur nicht sieht, würden dann auch die „intelligenten“ :DDD Smart-Verträge ausgelöst werden, weil in der „falschen“ Blockchain, die passenden Bedingungen dafür „herrschen“.

Blockchaintechnik ist echt cool… wenn man Verbrecher ist 😀

Wie muß man sich das vorstellen ?

Ein Angreifer erstellt auf einem Server ein ganzes Rudel von Nodes.  Mit den Informationen vergiften er das Node-Cache des Opfer-Clienten. Wenn der absichtlich oder aufgrund eines ausgelösten DOS rebootet, hat er nur noch Nodeadressen die vom Angreifer kontrolliert werden.  Er ist damit vom Netz abgeschnitten und merkt es nicht mal.

Das gleiche gibts dann nochmal in einer „Ein-Server“ Version, aber technisch läuft es auf das gleiche hinaus!

Problem behoben

In der neusten Version 1.8 von der geth Software ist das Problem soweit behoben worden. Aber neu ist das Problem nicht, da es bereits seit 2015 bekannt war, als Forscher es einfach mal ausprobiert haben. Soooo sicher alles !!

Quelle: https://arstechnica.com/information-technology/2018/03/ethereum-fixes-serious-eclipse-flaw-that-could-be-exploited-by-any-kid/

Let’s Encrypt Wildcard Zertifikate kommen später

Wie man der Community Ankündigung entnehmen kann, kommen die Wildcard Zerts von LE „später“ ™:

https://community.letsencrypt.org/t/acmev2-and-wildcard-launch-delay/53654

Eigentlich sollte es vorgestern schon losgehen, aber das wird erstmal verschoben. Neue Termine gibt es nicht. Als grund wird u.a. das Problem angegeben, das man über die TLS-SNI Erweiterung Zerts bekommen konnte, auch wenn man die gar nicht haben können sollte, so die Domain auf dem gleichen Shared-Hosting System war.

SNI erlaubt es, erstmal den Domainnamen zu senden, und der Server sucht dann das richtige Zertifikat raus, daß er dem Client präsentiert. Nicht zwingenderweise muß ein Client dann auch diese Domain als „Host:“ header angeben. Man kann also ein Zert bekommen, daß nicht zum Domainnamen paßt, dessen Inhalt man abrufen möchte.