Sicherheitslücke: 800 Zugangsdaten waren auf CSU-Webserver auslesbar

Über mehrere Sicherheitslücken konnten Dateien und Datenbanken ausgelesen werden - darunter die Passwörter zum CSU-Intranet und Mailkonten.

Artikel veröffentlicht am ,
Auch Ministerpräsident Markus Söder (CSU) hatte ein schlechtes Passwort.
Auch Ministerpräsident Markus Söder (CSU) hatte ein schlechtes Passwort. (Bild: Lennart Preiss/Getty Images)

Bei der Analyse eines Webservers der CSU konnte der Sicherheitsexperte Heiko Frenzel mehrere Sicherheitslücken entdecken. Über diese konnte er an über 800 Zugangsdaten von CSU-Politikern gelangen, darunter 300 für das Intranet der CSU-Fraktion.

Stellenmarkt
  1. Datenanalystin / Datenanalyst (w/m/d) im gehobenen informationstechnischen Dienst
    Polizeipräsidium Reutlingen, Esslingen
  2. Webentwickler (m/w/d)
    Stadtwerke Rosenheim GmbH & Co. KG, Rosenheim
Detailsuche

Laut einem Blogeintrag konnte Frenzel "zahlreiche Möglichkeiten für Cross-Site-Scripting (XSS)" entdecken. Hinzu komme eine SQL-Injektion, über die er die komplette Datenbank habe auslesen können. In dieser seien die 300 Zugangsdaten für das CSU-Intranet gewesen, deren Passwörter in dem leicht zu knackenden Hashverfahren MD5 vorlagen.

Entsprechend einfach waren die verwendeten Passwörter wie "andi2020" zu erraten. Nicht viel besser soll das Passwort des bayerischen Ministerpräsidenten Markus Söder sei: Es sei nur acht Zeichen lang und auch nicht sonderlich kreativ gewesen, schreibt Frenzel.

Eine Konfigurationsdatei mit Passwörtern zu E-Mail-Konten

Über eine weitere Sicherheitslücke sei eine File-Inclusion beziehungsweise der Download beliebiger Dateien von dem betroffenen Server möglich gewesen, schreibt der Sicherheitsexperte. Neben unzähligem anderen konnte er dort eine Konfigurationsdatei entdecken, die "sämtliche Webseiten der Abgeordneten, samt zugehörigen Zugangsdaten zur Datenbank, sowie zur Verwaltung der E-Mail-Konten des jeweiligen Abgeordneten und teilweise sogar FTP-Zugänge" enthielt. Eine Angreifergruppe hätte letztlich erhebliche Teile der Infrastruktur der CSU übernehmen können.

Golem Akademie
  1. Einführung in die Programmierung mit Rust
    21.-24. September 2021, online
  2. Microsoft 365 Security Workshop
    9.-11. Juni 2021, Online
Weitere IT-Trainings

Die gefundenen Sicherheitslücken und die insgesamt über 800 Zugangsdaten meldete Frenzel einem Kontakt bei der CSU. Daraufhin seien die Sicherheitslücken zeitnah behoben worden. Die CSU bestätigte der Deutschen Presse Agentur, dass die Sicherheitslücken vor rund vier Monaten gemeldet wurden und der externe Dienstleister diese mittlerweile behoben hat.

Bitte aktivieren Sie Javascript.
Oder nutzen Sie das Golem-pur-Angebot
und lesen Golem.de
  • ohne Werbung
  • mit ausgeschaltetem Javascript
  • mit RSS-Volltext-Feed


Aktuell auf der Startseite von Golem.de
Infrastruktur
Wie das Internet am Kapitalismus scheitert

Immer häufiger fallen wegen Fehlern eines einzigen Dienstes Tausende von Webseiten aus. Das zeigt: Das Internet stößt im Kapitalismus an Grenzen.
Ein IMHO von Sebastian Grüner

Infrastruktur: Wie das Internet am Kapitalismus scheitert
Artikel
  1. App: Betrüger nutzen Lidl Pay aus
    App
    Betrüger nutzen Lidl Pay aus

    Mit Lidl Pay kann man einfach per App zahlen - offenbar werden die angegebenen Kontodaten für das Lastschriftverfahren aber nicht ausreichend geprüft.

  2. Anti-Virus: John McAfee tot im Gefängnis aufgefunden
    Anti-Virus
    John McAfee tot im Gefängnis aufgefunden

    John McAfee ist tot in einer Gefängniszelle gefunden worden. Ihm drohte eine Auslieferung von Spanien in die USA.

  3. Grafikkarte: Nvidia soll mehr Geforce RTX 3060 produzieren
    Grafikkarte
    Nvidia soll mehr Geforce RTX 3060 produzieren

    Offenbar hat Nvidia die Kapazität für die günstigste Ampere-Karte gesteigert, im Juli 2021 soll die Auslieferung der RTX 3060 beginnen.

ibsi 05. Nov 2020

mgmga2021 (make german Autobahn Maut great again)

quineloe 05. Nov 2020

Die CSU kann von Glück sagen dass dieser lawful stupid white hat nicht das Postfach vom...


Folgen Sie uns
       


  • Schnäppchen, Rabatte und Top-Angebote
    Die besten Deals des Tages
    Schnäppchen • Mega-Wiedereröffnung bei MediaMarkt - bis zu 30 Prozent Rabatt • Samsung SSD 980 Pro PCIe 4.0 1TB 166,59€ • Gigabyte M27Q 27" WQHD 170Hz 338,39€ • AMD Ryzen 5 5600X 251,59€ • Dualsense Midnight Black + Ratchet & Clank Rift Apart 87,61€ • 6 Blu-rays für 30 Euro [Werbung]
    •  /