Abo
  • Services:
Anzeige
Eine fehlerhafte Konfiguration der Debugging-Umgebung "Werkzeug" führte zu dem Hack.
Eine fehlerhafte Konfiguration der Debugging-Umgebung "Werkzeug" führte zu dem Hack. (Bild: Detectify)

Security: Wie Patreon gehackt wurde

Eine fehlerhafte Konfiguration der Debugging-Umgebung "Werkzeug" führte zu dem Hack.
Eine fehlerhafte Konfiguration der Debugging-Umgebung "Werkzeug" führte zu dem Hack. (Bild: Detectify)

Die Spendenseite Patreon nutzte falsch konfigurierte Debugging-Umgebungen - diese ermöglichten den umfangreichen Hack in der vergangenen Woche. Tausende weiterer Webseiten sollen den gleichen Fehler machen und weisen ähnliche Sicherheitslücken auf.

Anzeige

Die Betreiber der Webseite Patreon wurden fünf Tage vor dem erfolgreichen Hack in der vergangenen Woche von Forschern der Sicherheitsfirma Detectify vor einer Sicherheitslücke gewarnt - das schreibt das Unternehmen in seinem Blog. Tausende weiterer Webseiten sollen den Forschern zufolge ähnliche Fehler wie Patreon machen - und sind somit für Angriffe verwundbar.

Die Patreon-Entwickler ließen Detectify zufolge Entwicklerwerkzeuge aus der "Werkzeug utility library" auf einer öffentlichen Subdomain laufen. Eine oder mehrere Web-Apps unter zach.patreon.com wären mit aktivierten Werkzeug-debugging-Funktionen gelaufen.

Schwachstelle durch Shodan erkannt

Detectify entdeckte die fehlerhafte Konfiguration durch eine Shodan-Suche. Nachdem sie die Schwachstelle gefunden hatten, informierten sie Patreon nach eigenen Angaben am 23. September. Neben Patreon sollen Tausende weiterer Webseiten den gleichen Fehler machen und sind daher ebenfalls verwundbar.

Die Dokumentation von Werkzeug warnt ausdrücklich vor dem Einsatz in Online-Produktivsystemen. Denn sobald eine Fehlermeldung ausgelöst wird, öffnet der Debugger eine Konsole. Über die Konsole können Angreifer dann Code ausführen und alle Daten abgreifen, auf die die Applikation Zugriff hat. Nach Angaben von Detectify wurde die Konsole schon durch den bloßen Aufruf der Domain getriggert und ermöglichte so direkt eine Remote Code Execution.

Der Sicherheitsforscher Coling Keigher warnte bereits im vergangenen Jahr vor Sicherheitsgefahren durch Debugging-Umgebungen in Livesystemen. Nachdem Detectify Patreon, nach eigenen Angaben, am 23. September über die Lücke informiert hatte, antwortete das Unternehmen, man sei dabei, die Probleme zu beheben.

Bei dem Hack wurden neben den verschlüsselten Passwörtern private Nachrichten der Nutzer, trunkierte Kreditkartendaten, E-Mail-Adressen und Postadressen sowie der Quellcode der Seite kompromittiert.


eye home zur Startseite
Xiut 06. Okt 2015

In der News zu dem Hack war die Rede davon, dass Passwörter bei Patreon zusätzlich neben...

schap23 05. Okt 2015

Alles richtig, aber wenn ein Konzern immer noch auf Gesamtreleases alle vier Monate...

elf 05. Okt 2015

Die Lücke ist ziemlich klein. Es dürfte kein all zu großer Aufwand sein, das bisschen...

ThiefMaster 05. Okt 2015

Geht standardmäßig auch ohne Exception.



Anzeige

Stellenmarkt
  1. TUI Group Services GmbH, Hannover
  2. Endress+Hauser InfoServe GmbH+Co. KG, Weil am Rhein
  3. Nash Technologies Stuttgart GmbH, Stuttgart
  4. f.u.n.k.e. MITTELSTANDS GmbH, Engen, Freiburg im Breisgau, Hamburg, Hannover


Anzeige
Hardware-Angebote
  1. 1.499,00€
  2. täglich neue Deals

Folgen Sie uns
       


  1. Tencent

    Lego will mit Tencent in China digital expandieren

  2. Beta-Update

    Gesichtsentsperrung für Oneplus Three und 3T verfügbar

  3. Matthias Maurer

    Ein Astronaut taucht unter

  4. Luftfahrt

    Boeing entwickelt Hyperschall-Spionageflugzeug

  5. Alexa-Gerät

    Echo Spot mit Display kommt für 130 Euro

  6. P Smart

    Huawei stellt Dual-Kamera-Smartphone für 260 Euro vor

  7. Fortnite

    574 Milliarden Schüsse und 40 Millionen Spieler

  8. Ericsson

    Datenvolumen am Smartphone wird nicht ausgenutzt

  9. Sieben Touchscreens

    Nissan Xmotion verwendet Koi als virtuellen Assistenten

  10. Intellimouse Classic

    Microsofts beliebte Maus kehrt zurück



Haben wir etwas übersehen?

E-Mail an news@golem.de


Anzeige
Star Citizen Alpha 3.0 angespielt: Es wird immer schwieriger, sich auszuloggen
Star Citizen Alpha 3.0 angespielt
Es wird immer schwieriger, sich auszuloggen
  1. Cloud Imperium Games Star Citizen bekommt erst Polituren und dann Reparaturen
  2. Star Citizen Reaktionen auf Gameplay und Bildraten von Alpha 3.0
  3. Squadron 42 Mark Hamill fliegt mit 16 GByte RAM und SSD

Snet in Kuba: Ein Internet mit Billigroutern und ohne Porno
Snet in Kuba
Ein Internet mit Billigroutern und ohne Porno
  1. Fehlalarm Falsche Raketenwarnung verunsichert Hawaii
  2. Whistleblowerin Chelsea Manning will in den US-Senat
  3. Geldautomaten Mehr Datenklau und trotzdem weniger Schaden durch Skimming

Vorschau Kinofilme 2018: Lara, Han und Player One
Vorschau Kinofilme 2018
Lara, Han und Player One
  1. Kinofilme 2017 Rückkehr der Replikanten und Triumph der Nasa-Frauen
  2. Star Wars - Die letzten Jedi Viel Luke und zu viel Unfug

  1. Re: Kennt jemand eine Alternative?

    nille02 | 12:56

  2. Re: Muss jetzt jeder Youtube-Channel eine Lizenz...

    JackIsBlack | 12:56

  3. Re: Ich lasse mein Datenvolumen zum größten Teil...

    hackgrid | 12:55

  4. Re: Das Gummi das sich löste...

    maverick1977 | 12:54

  5. Re: ich buche prinzipiell immer das groesste...

    ffh264vdpau | 12:54


  1. 12:45

  2. 12:30

  3. 12:02

  4. 11:16

  5. 10:59

  6. 10:49

  7. 10:34

  8. 10:00


  1. Themen
  2. A
  3. B
  4. C
  5. D
  6. E
  7. F
  8. G
  9. H
  10. I
  11. J
  12. K
  13. L
  14. M
  15. N
  16. O
  17. P
  18. Q
  19. R
  20. S
  21. T
  22. U
  23. V
  24. W
  25. X
  26. Y
  27. Z
  28. #
 
    •  / 
    Zum Artikel