• IT-Karriere:
  • Services:

Sicherheitslücke: Fehlerhaft konfiguriertes Git-Verzeichnis bei Redcoon

Was haben der Online-Händler Redcoon und die Volksverschlüsselung gemeinsam? Ein unsicher konfiguriertes Git-Repository. Immer wieder machen Webseitenbetreiber denselben Fehler.

Artikel von veröffentlicht am
Die Webseite von Redcoon
Die Webseite von Redcoon (Bild: Screenshot Golem.de)

Immer wieder werden Webseiten entdeckt, die durch eine fehlerhafte Konfiguration des Versionsverwaltungssystems Git vertrauliche Daten preisgeben. Aktuell sind der Onlinehändler Redcoon und die Webseite des Volksverschlüsselungsprojektes des Fraunhofer Institut für Sichere Informationstechnologie (SIT) betroffen. Das Problem mit den fehlerhaften Konfigurationen ist seit längerem bekannt, bereits aus dem Jahr 2008 gibt es entsprechende Berichte, damals noch mit der Versionsverwaltung SVN. Viele Webseitenbetreiber machen den Fehler aber immer noch.

Stellenmarkt
  1. Allianz Partners Deutschland GmbH, Aschheim
  2. PKS Software GmbH, Ravensburg, Eschborn, München

Wird ein Git-Repository zur Verwaltung von Webseiten eingesetzt, gibt es ein Unterverzeichnis mit dem Namen .git, in dem sich Metadaten und Änderungen des Repositorys in codierter Form befinden. Über das Problem hatte der Sicherheitsexperte Jamie Brown zuletzt im Jahr 2015 berichtet.

Auf das Problem bei dem Onlinehändler Redcoon wies uns der Golem.de-Leser Alexander Schneider hin. Er hatte in den Dateien mehrere API-Tokens von Google, Facebook und der Deutschen Post entdeckt, außerdem Hinweise auf "Payment Transaction Logs". Nach einem Hinweis an die Pressestelle des zu Media Markt und Saturn gehörenden Unternehmens wurde die Schwachstelle behoben, die Daten sind somit nicht mehr einsehbar.

Im aktuellen Fall wurden offenbar keine Kundendaten veröffentlicht, allerdings einige Tokens für Facebook und Google-Konten, die während der Einrichtung der Webseite verwendet wurden. Es dürfte sich dabei um Testaccounts von Redcoon handeln. Auch der Ordner Payment Transaction Logs enthielt keine kritischen Daten, sondern Beispieldaten für die Einrichtung der Webseite. Selbst wenn in diesem Fall also offenbar kein Schaden für Nutzer entstanden ist, sollten Webseitenbetreiber darauf achten, ihre Seiten richtig zu konfigurieren, vor allem, wenn diese professionell betrieben werden.

Ein Unternehmenssprecher teilte auf Anfrage mit: "Wir haben das entsprechende Verzeichnis umgehend gelöscht, auch wenn zu keiner Zeit Zugriff auf personenbezogene Daten, Zahlungsdaten oder sonstige vertrauliche Informationen bestand. In dem Verzeichnis befanden sich lediglich Beispieldateien für das von uns verwendete Shopsystem sowie Zugangsdaten zu Testsystemen und Diensten, die keine personenbezogenen Daten verwenden oder übermitteln."

Auch Volksverschlüsselung betroffen

Ein ähnliches Problem hatte das Volksverschlüsselungsprojekt des Fraunhofer Instituts für Sichere Informationstechnologie vor einigen Wochen, wie der Hacker und Golem.de-Autor Hanno Böck entdeckte. Die Webseite der Volksverschlüsselung wurde ebenfalls in Git entwickelt, dort konnten wir unter anderem ein Datenbankpasswort extrahieren. Dieses Passwort lautete "safran" und entspricht damit nicht gängigen Tipps für sichere Passwörter. Die Betreiber haben nach einem Hinweis von Golem.de reagiert. Mittlerweile wurde das Passwort geändert und die Konfiguration angepasst. Fraunhofer wies daraufhin, dass die Datenbank mit dem unsicheren Passwort nicht zur Verwaltung von Kundendaten eingesetzt wurde.

Ob eine Seite verwundbar ist oder nicht, kann relativ einfach geprüft werden: Wenn bei einer Webseite der Pfad http://www.beispiel.de/.git/config abrufbar ist, kann ein Angreifer Daten herunterladen. Wenn dann auf dem Server auch noch das Directory-Listing aktiv ist, ist das sehr einfach. Aber selbst bei deaktiviertem Directory-Listing können mit Hilfe von Tools des Projektes Internetwache.org Dateien heruntergeladen werden. Ein ähnliches Werkzeug für SVN hat Hanno Böck entwickelt.

Bitte aktivieren Sie Javascript.
Oder nutzen Sie das Golem-pur-Angebot
und lesen Golem.de
  • ohne Werbung
  • mit ausgeschaltetem Javascript
  • mit RSS-Volltext-Feed


Anzeige
Spiele-Angebote
  1. (-78%) 2,15€
  2. (-83%) 9,99€

__destruct() 14. Mai 2017

Danke!

__destruct() 13. Mai 2017

Das beantwortest du dir gleich selbst: Einfach in das Device File schreiben. Weil ich...

ecv 13. Mai 2017

Die sind auf dem Server, aber nicht im Internet. Ich hab den Ordner public mit einer...

Apfelbrot 12. Mai 2017

Da viele Firmen auf Testsystemen mit einer Kopie der Originaldatenbank arbeiten glaube...

tingelchen 12. Mai 2017

An dieser Stelle sehe ich da kein Problem. Mittels Rewrite Rules und Routing kann man die...


Folgen Sie uns
       


Helmholtz-Forscher arbeiten am Künstlichen Blatt - Bericht

Sonnenlicht spaltet Wasser: Ein Team von Helmholtz-Forschern bildet die Photosynthese technisch nach, um Wassesrtoff zu gewinnen.

Helmholtz-Forscher arbeiten am Künstlichen Blatt - Bericht Video aufrufen
DSGVO: Nicht weniger als Staatsversagen
DSGVO
Nicht weniger als Staatsversagen

Unterfinanziert und wirkungslos - so zeigen sich die europäischen Datenschutzbehörden nach zwei Jahren DSGVO gegenüber Konzernen wie Google und Facebook.
Eine Analyse von Christiane Schulzki-Haddouti

  1. DSGVO Proton vergisst Git-Zugang auf Datenschutzwebseite
  2. DSGVO Iren sollen Facebook an EU-Datenschützer abgeben
  3. Datenschutz Rechtsanwaltskanzlei zählt 160.000 DSGVO-Verstöße

Corona: Japans Krankenhäuser steigen endlich von Fax auf E-Mail um
Corona
Japans Krankenhäuser steigen endlich von Fax auf E-Mail um

In Japan löst die Coronakrise einen Modernisierungsschub aus. Den Ärzten in den Krankenhäusern fehlt die Zeit für das manuelle Ausfüllen von Formularen.
Ein Bericht von Felix Lill

  1. Corona IFA 2020 findet doch als physisches Event statt
  2. Corona Pariser Polizei darf keine Drohnen zur Überwachung verwenden
  3. Coronapandemie Wie wir fliegen werden

Core i9-10900K & Core i5-10600K im Test: Die Letzten ihrer Art
Core i9-10900K & Core i5-10600K im Test
Die Letzten ihrer Art

Noch einmal 14 nm und Skylake-Architektur: Intel holt alles aus der CPU-Technik heraus, was 250 Watt rein für die CPU bedeutet.
Ein Test von Marc Sauter

  1. Comet Lake Intels vPro-Chips takten höher
  2. Comet Lake S Intel tritt mit 250-Watt-Boost und zehn Kernen an
  3. Core i7-10875H im Test Comet Lake glüht nur auf einem Kern

    •  /