Abo
  • Services:
Anzeige
Kerio-Control hat mehrere Sicherheitslücken, einige sind gepatcht.
Kerio-Control hat mehrere Sicherheitslücken, einige sind gepatcht. (Bild: Kerio)

Social Engineering gegen Admins

Kerio hatte zum Zeitpunkt der ersten Untersuchung nach Angaben von René Freingruber von SEC Consult bislang nur eine Anfälligkeit für Cross-Site-Scripting (XSS-Lücke) und die SQL-Injektion geschlossen, die Anfälligkeit für Remote Code Execution besteht nach wie vor. Das Team suchte daher nach einer neuen Möglichkeit, diese Sicherheitslücke über das Internet auszunutzen.

Der Angriff richtet sich gegen die Administrationsoberfläche der Softwaresuite und dort gegen Administrator-Accounts. Um einen erfolgreichen Angriff durchzuführen, wird zunächst die interne IP-Adresse der Firewall benötigt. Dazu stellen die Forscher mehrere Angriffsvektoren vor, unter anderem einen IP Adress Leak durch WebRTC, E-Mail-Header, falsch konfigurierte DNS-Server oder andere Information-Disclosure-Sicherheitslücken. Auch Social Engineering sei möglich.

Anzeige

Im nächsten Schritt soll dann überprüft werden, ob die Firewall tatsächlich unter der angegebenen Adresse läuft. Wegen der Same-Origin-Policy (SOP) können die Hacker ihren Angriffscode nicht direkt ausführen, weil diese die Ausführung von Code blockiert, wenn dieser von einer anderen Quelle stammt. Stattdessen laden sie den Code über einen anderen Kanal (Side-Channel-Angriff), um die SOP zu umgehen. Dazu wird der HTML-Code der eigenen Anfrage um den Wert "'KerioIP KerioIP ':4081/ ':4081/ nonauth nonauth nonauth/gfx /kerio_logo.gif " ergänzt. Wenn Kerio Control auf der entsprechenden IP läuft, wird die Callback-Funktion Kerio_not_alive ausgeführt.

Bash-Skript öffnet Remote-Shell

Nach einem erfolgreichen Exploit kann dann der eigentliche Angriff durchgeführt werden: In der Administrationsoberfläche lassen sich neue Firmware-Images einspielen. Die vom Nutzer angegebenen Images werden nicht auf eine gültige Signatur überprüft. Außerdem enthalten die Images ein Bash-Skript, das vom Angreifer manipuliert werden kann. Über dieses Bash-Skript kann der Angreifer dann eine Remote-Shell öffnen und weitere Angriffe ausführen.

Wer Kontrolle über die Administrationsoberfläche hat, kann natürlich ohnehin großen Einfluss auf das System nehmen. Trotzdem ist dies ein valider Angriffsvektor für einen professionellen Angreifer, der versucht, Nutzerdaten über Social Engineering zu gewinnen.

Die NSA macht verschiedenen Berichten zufolge genau das. Zahlreiche große Hacks in den vergangenen Jahren gingen auf Social Engineering zurück, seien es iCloud-Angriffe gegen Prominente oder Clintons Berater John Podesta.

 Alte PHP-Versionen: Wenn deine Sicherheitssoftware dich verwundbar machtSchwachstelle aus 2014 

eye home zur Startseite
Moe479 17. Nov 2016

also doch den rat der weisen alten greisen regieren lassen ... but, we already got that!?! xD

Tigerf 17. Nov 2016

Wir geben einen Haufen Geld aus und betreiben schwer durchschaubare Systeme, deshalb sind...

Tigerf 17. Nov 2016

Je mehr Systeme und Ebenen eingezogen werden, desto größer die Gefahr. Am besten noch...

RipClaw 17. Nov 2016

Das betrachten die nicht als potentielle Sicherheitslücke ? Jeder Systemadministrator der...



Anzeige

Stellenmarkt
  1. T-Systems International GmbH, Berlin, Bonn, Essen, Mülheim, Wolfsburg
  2. Bechtle GmbH IT-Systemhaus, Nürtingen
  3. Isar Kliniken GmbH, München
  4. Jetter AG, Ludwigsburg


Anzeige
Blu-ray-Angebote
  1. (u. a. Reign, Person of Interest, Gossip Girl, The Clone Wars)
  2. 29,99€ (Vorbesteller-Preisgarantie)
  3. für 1€ über Sky Ticket (via App auch auf Smartphone/Tablet, Apple TV, PS3, PS4, Xbox One...

Folgen Sie uns
       


  1. Trotz Förderung

    Breitbandausbau kommt nur schleppend voran

  2. Nvidia

    Keine Volta-basierten Geforces in 2017

  3. Grafikkarte

    Sonnets eGFX Breakaway Box kostet 330 Euro

  4. E-Commerce

    Kartellamt will Online-Shops des Einzelhandels schützen

  5. id Software

    Quake Champions startet in den Early Access

  6. Betrug

    Verbraucherzentrale warnt vor gefälschten Youporn-Mahnungen

  7. Lenovo

    Smartphone- und Servergeschäft sorgen für Verlust

  8. Open Source Projekt

    Oracle will Java EE abgeben

  9. Apple iPhone 5s

    Hacker veröffentlicht Secure-Enclave-Key für alte iPhones

  10. Forum

    Reddit bietet native Unterstützung von Videos



Haben wir etwas übersehen?

E-Mail an news@golem.de


Anzeige
Mitmachprojekt: HTTPS vermiest uns den Wetterbericht
Mitmachprojekt
HTTPS vermiest uns den Wetterbericht

Breitbandausbau auf Helgoland: Deutschlands Hochseefelsen bekommt nur Vectoring
Breitbandausbau auf Helgoland
Deutschlands Hochseefelsen bekommt nur Vectoring
  1. Provider Dreamhost will keine Daten von Trump-Gegnern herausgeben
  2. Home Sharing Airbnb wehrt sich gegen Vorwürfe zu Großanbietern
  3. Illegale Waffen Migrantenschreck gibt es wieder - jetzt als Betrug

Google Home auf Deutsch im Test: "Tut mir leid, ich verstehe das nicht"
Google Home auf Deutsch im Test
"Tut mir leid, ich verstehe das nicht"
  1. Kompatibilität mit Sprachassistenten Trådfri-Update kommt erst im Herbst
  2. Smarte Lampen Ikeas Trådfri wird kompatibel mit Echo, Home und Homekit
  3. Lautsprecher-Assistent Google Home ab 8. August 2017 in Deutschland erhältlich

  1. Re: Deshalb braucht man Konkurrenz

    narfomat | 11:20

  2. Re: Die Menschen schauen gerne in die...

    Ispep | 11:18

  3. ..

    senf.dazu | 11:11

  4. Re: Kleine Onlineshops: Zu teuer, schlechter...

    Ispep | 11:10

  5. Re: Und warum ist das "lästig"?

    Hello_World | 11:05


  1. 11:21

  2. 17:56

  3. 16:20

  4. 15:30

  5. 15:07

  6. 14:54

  7. 13:48

  8. 13:15


  1. Themen
  2. A
  3. B
  4. C
  5. D
  6. E
  7. F
  8. G
  9. H
  10. I
  11. J
  12. K
  13. L
  14. M
  15. N
  16. O
  17. P
  18. Q
  19. R
  20. S
  21. T
  22. U
  23. V
  24. W
  25. X
  26. Y
  27. Z
  28. #
 
    •  / 
    Zum Artikel