CCC: Unsichere Webserver bei Bundesfinanzagentur
Zwei Lücken hat der Chaos Computer Club (CCC) nach einem anonymen Hinweis bei den Webservern der Finanzagentur gefunden. Zum einen sei das Einstellen eigener Angebote möglich gewesen. Zum anderen hätte jeder Anwender per Browser Veränderungen an Finanzangeboten der Agentur vornehmen können, schreibt der Club(öffnet im neuen Fenster) .
Die schlecht konfigurierten Apache-Server seien zudem für Kunden der Finanzagentur als Umleitung und damit für Phishing verwendbar gewesen. Benutzerdaten hätten dadurch durch einen Aufruf des Systems für Onlinebanking der Agentur abgefangen und an andere Webserver weitergeleitet werden können. Ob es sich dabei um typische Angriffe per Cross-Site-Scripting (XSS) handelt, teilte der Club nicht mit. Derzeit weist die Startseite der Agentur(öffnet im neuen Fenster) auf Wartungsarbeiten hin, die noch den gesamten Freitag andauern sollen. Einige direkt erreichbare Seiten geben auch nur eine Fehlermeldung(öffnet im neuen Fenster) aus – offenbar wurden große Teile des Systems vom Netz genommen.
CCC-Sprecher Dirk Engling kommentiert: "Diese Sicherheitslücke ist schwerwiegend, weil schon mittels sehr einfacher Phishing-Methoden alle Zugangsdaten der dortigen Kunden hätten ausgespäht werden können. Es geht hier nicht nur um eine fehlerhafte Konfiguration eines Webservers, sondern auch um den jahrelangen Betrieb dieses sensiblen Servers ohne ernsthafte Prüfung auf Sicherheitsmängel" . Berichte über dadurch entstandene Schäden liegen noch nicht vor.
Die "Bundesrepublik Deutschland – Finanzagentur GmbH" führt als staatliches Unternehmen Finanzdienstleistungen für die Bundesrepublik durch. Sie kümmert sich vor allem um die Kreditaufnahme des Bundes und dessen Schuldenmanagement.
- Anzeige Hier geht es zum Handbuch für Softwareentwickler bei Amazon Wenn Sie auf diesen Link klicken und darüber einkaufen, erhält Golem eine kleine Provision. Dies ändert nichts am Preis der Artikel.