• IT-Karriere:
  • Services:

Sicherheitslücke: Digicert- und Lineage-OS-Server gehackt

Über schwerwiegende Sicherheitslücken in dem Servermanagement-Tool Saltstack wurden mehrere Server gehackt.

Artikel veröffentlicht am , /
Hacker nutzen schwerwiegende Sicherheitslücken in Saltstack aus.
Hacker nutzen schwerwiegende Sicherheitslücken in Saltstack aus. (Bild: Saltstack)

Angreifer haben Server der CA Digicert, des alternativen Android Lineage OS und der Blogging-Plattform Ghost über die Automatisierungssoftware Saltstack gehackt. Mit der Open-Source-Software können Administratoren ihre Server verwalten. Vergangene Woche haben die Saltstack-Entwickler zwei schwerwiegende Sicherheitslücken behoben, die auf ungepatchten Systemen aktiv ausgenutzt werden.

Stellenmarkt
  1. über duerenhoff GmbH, Lüdenscheid
  2. Rabobank International Frankfurt Branch, Frankfurt am Main

Mit den Sicherheitslücken können Angreifer die Authentifizierung umgehen (CVE-2020-11652) und auf Verzeichnisse zugreifen (CVE-2020-11652). Mit den Lücken können Angreifer Code als Root auf den betroffenen Saltstack-Servern ausführen. In den Saltstack-Versionen 2019.2.4 und 3000.2 wurden die Sicherheitslücken behoben.

Mit den Saltstack-Sicherheitslücken konnten sich Angreifer am 2. Mai 2020 Zugriff auf die Kerninfrastruktur von Lineage OS verschaffen. Wenige Stunden später veröffentlichte das Lineage-Team ein Statement auf Twitter. Demnach sind weder die Builds des Betriebssystems, die wegen eines anderen Fehlers seit 30. April pausieren, noch der Quellcode des Betriebssystems betroffen. Auch die Signaturschlüssel seien nicht betroffen, da diese auf unabhängigen Hosts gespeichert sind.

Einige Stunden später wurde die Blogging-Plattform Ghost gehackt. Laut den Ghost-Entwicklern hatten die Angreifer Zugang zu den Ghost-(Pro-)Webseiten sowie den Abrechnungsdiensten von Ghost.org. "Es gibt keine direkten Beweise dafür, dass private Kundendaten, Passwörter oder andere Informationen kompromittiert wurden. Alle Sitzungen, Passwörter und Schlüssel werden erneuert", heißt es in einer Stellungnahme.

Zertifizierungsstelle Digicert gehackt

Die TLS-Zertifizierungsstelle Digicert meldete ebenfalls einen Angriff durch die Saltstack-Lücke. Auf dem betroffenen System befand sich der private Schlüssel eines Logs für das Certificate-Transparency-System, das Digicert betreibt. TLS-Zertifikate müssen generell von zwei voneinander unabhängigen Certificate-Transparency-Logs Bestätigungen haben, die die Aufnahme in das Log belegen. Daher dürften die praktischen Auswirkungen dieses Hacks zwar gering sein, trotzdem ist es gravierend, dass ausgerechnet eine TLS-Zertifizierungsstelle die Kontrolle über einen privaten Schlüssel verliert.

Laut dem Onlinemagazin ZDnet scannen die Angreifer nach verwundbaren Saltstack-Installationen und versuchen, diese zu übernehmen, um Miner für Kryptowährungen oder Hintertüren zu installieren. Demnach sollen mehr als 6.000 verwundbare Saltstack-Server im Netz zu finden sein.

Bitte aktivieren Sie Javascript.
Oder nutzen Sie das Golem-pur-Angebot
und lesen Golem.de
  • ohne Werbung
  • mit ausgeschaltetem Javascript
  • mit RSS-Volltext-Feed


Anzeige
Spiele-Angebote
  1. 24,99€ (PS4 und Xbox One)
  2. 7,99€
  3. (-83%) 9,99€
  4. 31,99€

elf 05. Mai 2020 / Themenstart

Du erinnerst dich falsch. Das war DigiNotar.

HeroFeat 04. Mai 2020 / Themenstart

Ich hatte bereits am Donnerstag alle Systeme gepatcht, da ich mitbekommen hatte, das es...

Kommentieren


Folgen Sie uns
       


Streamen und Aufnehmen in OBS Studio - Tutorial

Wir erläutern in einem kurzen Video die Grundfunktionen von OBS-Studio.

Streamen und Aufnehmen in OBS Studio - Tutorial Video aufrufen
Corona: Der Staat muss uns vor der Tracing-App schützen
Corona
Der Staat muss uns vor der Tracing-App schützen

Politiker wie Axel Voss fordern "Anreize" für die Nutzung der Corona-App. Doch das schafft nicht das notwendige Vertrauen in die staatliche Technik.
Ein Gastbeitrag von Stefan Brink und Clarissa Henning

  1. Schnittstelle installiert Android-Handys sind bereit für die Corona-Apps
  2. Corona-App Google und Apple stellen Bluetooth-API bereit
  3. Coronapandemie Quarantäne-App soll Gesundheitsämter entlasten

Energieversorgung: Wasserstoff-Fabrik auf hoher See
Energieversorgung
Wasserstoff-Fabrik auf hoher See

Um überschüssigen Strom sinnvoll zu nutzen, sollen in der Nähe von Offshore-Windparks sogenannte Elektrolyseure installiert werden. Der dort produzierte Wasserstoff wird in bestehende Erdgaspipelines eingespeist.
Ein Bericht von Wolfgang Kempkens

  1. Industriestrategie EU plant Allianz für sauberen Wasserstoff
  2. Energie Dieses Blatt soll es wenden
  3. Energiewende Grüner Wasserstoff aus der Zinnschmelze

Realme X50 Pro im Test: Der Oneplus-Killer
Realme X50 Pro im Test
Der Oneplus-Killer

Oneplus bezeichnete sich einst als "Flagship-Killer", mittlerweile stellt sich die Frage, wer hier für wen gefährlich wird: Das X50 Pro des Schwesterunternehmens Realme ist ein wahrer "Oneplus-Killer".
Ein Test von Tobias Költzsch

  1. Astro Slide Neues 5G-Smartphone mit aufschiebbarer Tastatur
  2. Galaxy S20 Ultra im Test Samsung beherrscht den eigenen Kamerasensor nicht
  3. Red Magic 5G Neues 5G-Gaming-Smartphone kommt mit 144-Hz-Display

    •  /