Abo
  • Services:
Anzeige
Bei der FCC konnten Nutzer beliebige Dateien hochladen.
Bei der FCC konnten Nutzer beliebige Dateien hochladen. (Bild: Gemeinfrei)

Sicherheitslücke bei FCC: Die FCC akzeptiert Malware-Uploads

Bei der FCC konnten Nutzer beliebige Dateien hochladen.
Bei der FCC konnten Nutzer beliebige Dateien hochladen. (Bild: Gemeinfrei)

Bei der US-Kommunikationsbehörde FCC können Nutzer über eine API Stellungnahmen hochladen. Das Problem: Mit dem richtigen API-Schlüssel konnten dort beliebige Dokumente hochgeladen werden, so dass Angreifer den Regierungsserver für Malware- und Phishing-Kampagnen nutzen können.

Die Federal Communications Commission (FCC) ist der oberste Telekomregulierer in den USA - doch in puncto Sicherheit muss die Behörde wohl noch ordentlich dazulernen. Eine fehlerhaft konfigurierte API ermöglichte Nutzern, beliebige Dateien bis zu einer Größe von 25 MByte hochzuladen. Nach dem Upload sind die Dateien per Link weltweit verfügbar. Verifiziert sind Uploads mit den Dateiendungen PDF, GIf, Elf, Exe und MP4.

Anzeige

Der Blogger Guise Bule hatte unter Verweis auf eine anonyme Quelle zunächst über den Fehler berichtet. Tatsächlich gibt es zahlreiche öffentlich verfügbare Dokumente, die nicht von der FCC selbst stammen dürften. Unter Hinweis auf die kontroverse Diskussion um die Aufhebung der Regeln zur Netzeneutralität in den USA steht in einem etwa: "Fuck Net Neutrality. God bless America".

Keine speziellen Hacking-Kenntnisse notwendig

Die Ausnutzung der mittlerweile behobenen Lücke erforderte keine speziellen Kenntnisse. Es reichte, sich nach den Regeln der Dokumentation der FCC einen Schlüssel für die API zu besorgen. Darüber konnten die gewünschten Dokumente hochgeladen werden. Je nachdem, von wem die Sicherheitslücke ausgenutzt wird, kann es mehr als nur peinlich werden. Denn neben Protestbotschaften an die FCC könnten Angreifer auch Malware oder Phishing-Kampagnen auf einem Server mit offizieller Regierungsadresse hosten.

Die hochgeladenen Dokumente sind weiterhin verfügbar. Neue API-Schlüssel werden derzeit offenbar nicht vergeben, allerdings soll ein zu Demonstrationszwecken auf der Webseite angegebener Schlüssel weiterhin funktionieren.


eye home zur Startseite

Kommentieren



Anzeige

Stellenmarkt
  1. Storch-Ciret Business Services GmbH, Wuppertal
  2. KWS Services Deutschland GmbH, Einbeck
  3. Stadtwerke Düsseldorf AG, Düsseldorf
  4. Elumatec AG, Mühlacker bei Pforzheim


Anzeige
Hardware-Angebote
  1. ab 649,90€

Folgen Sie uns
       


  1. Trekstor

    Kompakte Convertibles kosten ab 350 Euro

  2. Apple

    4K-Filme in iTunes laufen nur auf neuem Apple TV

  3. Bundesgerichtshof

    Keine Urheberrechtsverletzung bei Bildersuche

  4. FedEX

    TNT verliert durch NotPetya 300 Millionen US-Dollar

  5. Arbeit aufgenommen

    Deutsches Internet-Institut nach Weizenbaum benannt

  6. Archer CR700v

    Kabelrouter von TP-Link doch nicht komplett abgesagt

  7. QC35 II

    Bose bringt Kopfhörer mit eingebautem Google Assistant

  8. Nach "Judenhasser"-Eklat

    Facebook erlaubt wieder gezielte Werbung an Berufsgruppen

  9. Tuxedo

    Linux-Notebook läuft bis zu 20 Stunden

  10. Umfrage

    88 Prozent wollen bezahlbaren Breitbandanschluss



Haben wir etwas übersehen?

E-Mail an news@golem.de


Anzeige
Kein App Store mehr: iOS-Nutzer sollten das neue iTunes nicht installieren
Kein App Store mehr
iOS-Nutzer sollten das neue iTunes nicht installieren
  1. Drei Netzanbieter warnt vor Upgrade auf iOS 11
  2. Betriebssystem Apple veröffentlicht Goldmaster für iOS, tvOS und WatchOS
  3. iPhone iOS 11 bekommt Schutz gegen unerwünschte Memory-Dumps

Inspiron 5675 im Test: Dells Ryzen-Gaming-PC reicht mindestens bis 2020
Inspiron 5675 im Test
Dells Ryzen-Gaming-PC reicht mindestens bis 2020
  1. Android 8.0 im Test Fertig oder nicht fertig, das ist hier die Frage
  2. Logitech Powerplay im Test Die niemals leere Funk-Maus
  3. Polar vs. Fitbit Duell der Schlafexperten

Energieversorgung: Windparks sind schlechter gesichert als E-Mail-Konten
Energieversorgung
Windparks sind schlechter gesichert als E-Mail-Konten
  1. Messenger Wire-Server steht komplett unter Open-Source-Lizenz
  2. Apache Struts Monate alte Sicherheitslücke führte zu Equifax-Hack
  3. Kreditrating Equifax' Krisenreaktion ist ein Desaster

  1. Re: Ja? Wieso funktioniert dann mein Edge und die...

    elf | 17:51

  2. Re: MS-DOS 6.22

    Test_The_Rest | 17:50

  3. Re: History repeats itself

    George99 | 17:49

  4. Re: Was hat das mit "Die PARTEI" zui tun?

    deutscher_michel | 17:47

  5. Re: Backup - My Ass!!

    ArcherV | 17:45


  1. 17:49

  2. 17:39

  3. 17:16

  4. 17:11

  5. 16:49

  6. 16:17

  7. 16:01

  8. 15:37


  1. Themen
  2. A
  3. B
  4. C
  5. D
  6. E
  7. F
  8. G
  9. H
  10. I
  11. J
  12. K
  13. L
  14. M
  15. N
  16. O
  17. P
  18. Q
  19. R
  20. S
  21. T
  22. U
  23. V
  24. W
  25. X
  26. Y
  27. Z
  28. #
 
    •  / 
    Zum Artikel