Abo
  • Services:
Anzeige
Eine fehlerhafte Konfiguration der Debugging-Umgebung "Werkzeug" führte zu dem Hack.
Eine fehlerhafte Konfiguration der Debugging-Umgebung "Werkzeug" führte zu dem Hack. (Bild: Detectify)

Security: Wie Patreon gehackt wurde

Eine fehlerhafte Konfiguration der Debugging-Umgebung "Werkzeug" führte zu dem Hack.
Eine fehlerhafte Konfiguration der Debugging-Umgebung "Werkzeug" führte zu dem Hack. (Bild: Detectify)

Die Spendenseite Patreon nutzte falsch konfigurierte Debugging-Umgebungen - diese ermöglichten den umfangreichen Hack in der vergangenen Woche. Tausende weiterer Webseiten sollen den gleichen Fehler machen und weisen ähnliche Sicherheitslücken auf.

Anzeige

Die Betreiber der Webseite Patreon wurden fünf Tage vor dem erfolgreichen Hack in der vergangenen Woche von Forschern der Sicherheitsfirma Detectify vor einer Sicherheitslücke gewarnt - das schreibt das Unternehmen in seinem Blog. Tausende weiterer Webseiten sollen den Forschern zufolge ähnliche Fehler wie Patreon machen - und sind somit für Angriffe verwundbar.

Die Patreon-Entwickler ließen Detectify zufolge Entwicklerwerkzeuge aus der "Werkzeug utility library" auf einer öffentlichen Subdomain laufen. Eine oder mehrere Web-Apps unter zach.patreon.com wären mit aktivierten Werkzeug-debugging-Funktionen gelaufen.

Schwachstelle durch Shodan erkannt

Detectify entdeckte die fehlerhafte Konfiguration durch eine Shodan-Suche. Nachdem sie die Schwachstelle gefunden hatten, informierten sie Patreon nach eigenen Angaben am 23. September. Neben Patreon sollen Tausende weiterer Webseiten den gleichen Fehler machen und sind daher ebenfalls verwundbar.

Die Dokumentation von Werkzeug warnt ausdrücklich vor dem Einsatz in Online-Produktivsystemen. Denn sobald eine Fehlermeldung ausgelöst wird, öffnet der Debugger eine Konsole. Über die Konsole können Angreifer dann Code ausführen und alle Daten abgreifen, auf die die Applikation Zugriff hat. Nach Angaben von Detectify wurde die Konsole schon durch den bloßen Aufruf der Domain getriggert und ermöglichte so direkt eine Remote Code Execution.

Der Sicherheitsforscher Coling Keigher warnte bereits im vergangenen Jahr vor Sicherheitsgefahren durch Debugging-Umgebungen in Livesystemen. Nachdem Detectify Patreon, nach eigenen Angaben, am 23. September über die Lücke informiert hatte, antwortete das Unternehmen, man sei dabei, die Probleme zu beheben.

Bei dem Hack wurden neben den verschlüsselten Passwörtern private Nachrichten der Nutzer, trunkierte Kreditkartendaten, E-Mail-Adressen und Postadressen sowie der Quellcode der Seite kompromittiert.


eye home zur Startseite
Xiut 06. Okt 2015

In der News zu dem Hack war die Rede davon, dass Passwörter bei Patreon zusätzlich neben...

schap23 05. Okt 2015

Alles richtig, aber wenn ein Konzern immer noch auf Gesamtreleases alle vier Monate...

elf 05. Okt 2015

Die Lücke ist ziemlich klein. Es dürfte kein all zu großer Aufwand sein, das bisschen...

ThiefMaster 05. Okt 2015

Geht standardmäßig auch ohne Exception.



Anzeige

Stellenmarkt
  1. QualityHosting AG, Gelnhausen
  2. Robert Bosch GmbH, Leonberg
  3. über eTec Consult GmbH, Großraum Bielefeld / Hannover
  4. Graphic Group Mensch & Medien GmbH, Bielefeld


Anzeige
Top-Angebote
  1. 34,99€ statt 67,90€
  2. 109,90€ statt 179,90€
  3. 199,99€ statt 479,99€ - Ersparnis rund 58%

Folgen Sie uns
       


  1. CPU-Bug

    Wie der Albtraum-Bug in Skylake gefunden wurde

  2. Netzwerk

    Huawei baut erste Testfabrik in Japan

  3. Amazon

    Sortiment in neuen Prime-Video-Ländern bleibt mickrig

  4. Ryzen Pro

    AMD bringt Core-i-vPro-Konkurrenten mit vielen Kernen

  5. Playerunknown's Battleground

    Crossplay für Inselkämpfer geplant

  6. Linux

    Systemd bekommt Werkzeuge zum Bauen und Verteilen von Images

  7. Sheryl Sandberg

    Facebook-Beschäftigte bekommen im Trauerfall Sonderurlaub

  8. Intel

    SSD 545s nutzt 64-Layer-Chips

  9. 10 Jahre iPhone

    Apple hat definiert, wie ein Smartphone sein muss

  10. Petya

    Die Ransomware ist ein Zerstörungstrojaner



Haben wir etwas übersehen?

E-Mail an news@golem.de


Anzeige
Neues iPad Pro im Test: Von der Hardware her ein Laptop
Neues iPad Pro im Test
Von der Hardware her ein Laptop
  1. iFixit iPad Pro 10,5 Zoll intern ein geschrumpftes 12,9 Zoll Modell
  2. Office kostenpflichtig Das iPad Pro 10,5 Zoll ist Microsoft zu groß
  3. Hintergrundbeleuchtung Logitech bringt Hülle mit abnehmbarer Tastatur für iPad Pro

Anki Cozmo ausprobiert: Niedlicher Programmieren lernen und spielen
Anki Cozmo ausprobiert
Niedlicher Programmieren lernen und spielen

Google Wifi im Test: Google mischt mit im Mesh
Google Wifi im Test
Google mischt mit im Mesh
  1. Prozessor Intels Skylake-X kommt zu früh
  2. Skylake-SP Intels Xeon nutzen ein Mesh statt Ringbusse
  3. Headset G433 im Hands on Logitech hat ein Headset genäht

  1. Re: Einfach nur schade.

    midluk | 17:48

  2. Re: Canon hats echt versaut

    pahnson | 17:46

  3. Re: Sein muss?

    humpfor | 17:45

  4. Re: ich sehe immernoch keinen unterschied

    gadthrawn | 17:44

  5. Re: Nicht ganz!

    thecrew | 17:42


  1. 17:41

  2. 16:41

  3. 15:12

  4. 15:00

  5. 14:41

  6. 14:13

  7. 13:18

  8. 12:48


  1. Themen
  2. A
  3. B
  4. C
  5. D
  6. E
  7. F
  8. G
  9. H
  10. I
  11. J
  12. K
  13. L
  14. M
  15. N
  16. O
  17. P
  18. Q
  19. R
  20. S
  21. T
  22. U
  23. V
  24. W
  25. X
  26. Y
  27. Z
  28. #
 
    •  / 
    Zum Artikel