Datenleck: Sicherheitslücke im Shop von Tuxedo entdeckt und geschlossen

Ein Entwickler hat eine Sicherheitslücke im Shop-System von Linux-Hardware-Hersteller Tuxedo entdeckt, über welche Daten abgegriffen werden konnten.

Artikel veröffentlicht am 15. Februar 2022, 17:26 Uhr, Moritz Tremmel

Die Rechner von Tuxedo sind auf Linux-Distributionen ausgelegt. (Bild: Tuxedo)

Im Shopsystem des Linux-Hardware-Herstellers Tuxedo ist eine Sicherheitslücke entdeckt worden, über die angemeldete Nutzer die Adressdaten und gehashten Passwörter anderer Tuxedo-Kunden abrufen konnten. Nachdem das Unternehmen von der Sicherheitslücke erfahren hatte, sei sie umgehend geschlossen worden, teilte Tuxedo auf Nachfrage von Golem.de mit.

Demnach meldete sich in den frühen Morgenstunden des vergangenen Sonntags (13. Februar) ein Kunde bei Tuxedo und informierte das Unternehmen über eine E-Mail, die auf das mögliche Datenleck hingewiesen hatte. Daraufhin habe man sich sofort mit der Lösung des Problems beschäftigt und habe die Lücke noch am gleichen Tag gegen 13:30 Uhr beheben können, erklärte Annika Litzel, Pressesprecherin von Tuxedo.

Zudem sei man mit dem Entwickler in Kontakt getreten, der "eine Lücke gefunden [hat], die nach Registrierung als Kunde und anschließender entsprechend versierter Manipulation des Adressbuchs Zugriff auf Adressdaten und gehashte Passwörter ermöglicht hätte", sagte Litzel. Die Passwörter wurden mit dem leicht zu knackenden Verfahren MD5 gehasht.

Ein Zugriff auf weitere Informationen wie beispielsweise Zahlungsdaten sei jedoch nicht möglich gewesen, betont Litzel. Die Lücke habe nur den Shop betroffen, Manipulationen seien nicht möglich gewesen

Tuxedo informierte Kunden umgehend und will neue Sicherheitsfunktionen einführen

Der Entwickler sei sehr vertrauenswürdig und freundlich und habe angegeben, "die Daten nicht heruntergeladen, nicht gespeichert, nicht weitergegeben und nichts Anderweitiges damit gemacht" zu haben, erklärte Litzel. Sie richtete ihren Dank an den Entwickler. Seine initiale E-Mail habe man allerdings nirgends im System finden können, sonst hätte man bereits früher reagiert, betonte Litzel. Auch gelöschte E-Mails und Spamfilter seien geprüft worden.

Bereits am 14. Februar, also ein Tag nachdem Tuxedo von der Sicherheitslücke und dem möglichen Datenleck erfuhr, informierte es alle Kunden per E-Mail. Diese wurden zu einer Änderung des Passwortes aufgerufen. Der Datenschutzbeauftragte solle im Laufe des 15. Februar über den Vorfall informiert werden.

Bisher hat Tuxedo kündigte an, Passwörter zukünftig mit einem Salt und dem Hashverfahren Bcrypt sichern zu wollen. Zudem soll eine Zwei-Faktor-Authentifizierung (2FA) eingeführt werden.

Nachtrag vom 18. Februar 2022, 14:30 Uhr

Auf Nachfrage von Golem.de hat sich Tuxedo zu dem bisherigen und zukünftigen Hashverfahren geäußert. Die Informationen wurden im Text ergänzt.