Abo
  • IT-Karriere:

Samsung: Forscher konnte auf Entwicklungsumgebung zugreifen

Zugangsdaten, Zertifikate, Tokens, Schlüssel und Quellcode: Ein Sicherheitsforscher fand eine öffentlich zugängliche Gitlab-Installation von Samsung - und hätte selbst den Softwarecode ändern können.

Artikel veröffentlicht am ,
Die Sicherheit von Samsungs Entwicklungsumgebung ist brüchig.
Die Sicherheit von Samsungs Entwicklungsumgebung ist brüchig. (Bild: Kote Puerto/Unsplash)

Ein Sicherheitsforscher konnte auf etliche Softwareprojekte von Samsung zugreifen. Diese wurden in einer öffentlich zugänglichen Gitlab-Instanz unter einer eigenen Domain betrieben. Neben dem Quellcode fand der Sicherheitsforscher Mossab Hussein laut dem Onlinemagazin Techcrunch auch Zugangsdaten, Zertifikate, Tokens und Schlüssel, mit denen er sich Zugriff auf Analyse- und Log-Daten verschaffen sowie den Code verändern konnte.

Stellenmarkt
  1. Alfred Kärcher SE & Co. KG, Winnenden bei Stuttgart
  2. STRABAG BRVZ GMBH & CO.KG, Stuttgart

Die Gitlab-Installation von Samsung war, wie viele der dort gehosteten Softwareprojekte, öffentlich einsehbar. Neben dem Quellcode verschiedener Softwareprojekte konnte der Sicherheitsforscher auch Zugangsdaten zu Samsungs AWS-Konto in der Gitlab-Instanz entdecken. Zu dem Konto gehören über 100 S3-Buckets, in denen Logs und Analysedaten von Samsung gespeichert werden. Darunter seien auch viele Daten von Samsungs Smart-Home-System Smarthings und dem Sprachassistenten Bixby.

Der Sicherheitsforscher habe zudem Zugriff auf in Gitlab abgelegte private Tokens der Mitarbeiter gehabt. Über die Tokens konnte der Sicherheitsforscher auch auf etliche private Softwareprojekte zugreifen. Insgesamt habe er Zugriff auf 135 Softwareprojekte gehabt, erklärt Hussein.

Samsungs Software verändern

Über die Zugänge hätte der Sicherheitsforscher auch Änderungen am Code vornehmen können - im Namen anderer Nutzer. Laut Techcrunch erklärte Samsung zwar, dass es sich bei den Softwareprojekten nur um Dateien zum Testen handle, der Sicherheitsforscher habe jedoch festgestellt, dass die am 10. April 2019 veröffentlichte Android-App Smarthings von Samsung den gleichen Code verwende, der auch in Gitlab hinterlegt sei. Laut Googles Play Store wurde die App über 100 Millionen Mal installiert. Auch die Zertifikate der iOS- und Android-App fanden sich in der Gitlab-Installation von Samsung.

"Die eigentliche Gefahr liegt darin, dass jemand die Möglichkeit hatte, derart weitreichenden Zugriff auf den Quellcode der Applikationen zu erhalten und Schadcode einfügen konnte, ohne dass die Firma es bemerkt", kommentiert Hussein auf Techcrunch.

Am 10. April 2019 meldete der Sicherheitsforscher seinen Fund an Samsung, das die AWS-Zugangsdaten zurücksetzte. Ob auch die Zertifikate und Schlüssel zurückgesetzt wurden, ist unbekannt.



Anzeige
Hardware-Angebote
  1. 177,90€ + Versand (Bestpreis!)
  2. 259€ + Versand oder kostenlose Marktabholung (aktuell günstigste GTX 1070 Mini)
  3. täglich neue Deals bei Alternate.de

ChiakiAccess 10. Mai 2019 / Themenstart

Manchmal ist ein "richtiger" Titel auch einfach clickbaitig genug. (Geiles Wort)

Kommentieren


Folgen Sie uns
       


Kompaktanlage mit Raspi vernetzt

Wie kann eine uralte Kompaktanlage aus den 90er Jahren noch sinnvoll mit modernen Musik- und Videoquellen vernetzt werden?

Kompaktanlage mit Raspi vernetzt Video aufrufen
IT-Headhunter: ReactJS- und PHP-Experten verzweifelt gesucht
IT-Headhunter
ReactJS- und PHP-Experten verzweifelt gesucht

Marco Nadol vermittelt für Hays selbstständige Informatiker, Programmierer und Ingenieure in Unternehmen. Aus langjähriger Erfahrung als IT-Headhunter weiß er mittlerweile sehr gut, was ihre Chancen auf dem Markt erhöht und was sie verschlechtert.
Von Maja Hoock

  1. Bundesagentur für Arbeit Informatikjobs bleiben 132 Tage unbesetzt
  2. IT-Berufe Bin ich Freiberufler oder Gewerbetreibender?
  3. Milla Bund sagt Pläne für KI-gesteuerte Weiterbildungsplattform ab

Mordhau angespielt: Die mit dem Schwertknauf zuschlagen
Mordhau angespielt
Die mit dem Schwertknauf zuschlagen

Ein herausfordernd-komplexes Kampfsystem, trotzdem schnelle Action mit Anleihen bei Chivalry und For Honor: Das vom Entwicklerstudio Triternion produzierte Mordhau schickt Spieler in mittelalterlich anmutende Multiplayergefechte mit klirrenden Schwertern und hohem Spaßfaktor.
Von Peter Steinlechner

  1. Bus Simulator angespielt Zwischen Bodenschwelle und Haltestelle
  2. Bright Memory angespielt Brachialer PC-Shooter aus China

Katamaran Energy Observer: Kaffee zu kochen heißt, zwei Minuten später anzukommen
Katamaran Energy Observer
Kaffee zu kochen heißt, zwei Minuten später anzukommen

Schiffe müssen keine Dreckschleudern sein: Victorien Erussard und Jérôme Delafosse haben ein Boot konstruiert, das ohne fossilen Treibstoff auskommt. Es kann sogar auf hoher See selbst Treibstoff aus Meerwasser gewinnen. Auf ihrer Tour um die Welt wirbt die Energy Observer für erneuerbare Energien.
Ein Bericht von Werner Pluta

  1. Umweltschutz Kanäle in NRW bekommen Ladesäulen für Binnenschiffe
  2. Transport DLR plant Testfeld für autonome Schiffe in Brandenburg
  3. C-Enduro Britische Marine testet autonomes Wasserfahrzeug

    •  /