Abo
  • Services:

Sicherheitslücke: Fehlerhaft konfiguriertes Git-Verzeichnis bei Redcoon

Was haben der Online-Händler Redcoon und die Volksverschlüsselung gemeinsam? Ein unsicher konfiguriertes Git-Repository. Immer wieder machen Webseitenbetreiber denselben Fehler.

Artikel von veröffentlicht am
Die Webseite von Redcoon
Die Webseite von Redcoon (Bild: Screenshot Golem.de)

Immer wieder werden Webseiten entdeckt, die durch eine fehlerhafte Konfiguration des Versionsverwaltungssystems Git vertrauliche Daten preisgeben. Aktuell sind der Onlinehändler Redcoon und die Webseite des Volksverschlüsselungsprojektes des Fraunhofer Institut für Sichere Informationstechnologie (SIT) betroffen. Das Problem mit den fehlerhaften Konfigurationen ist seit längerem bekannt, bereits aus dem Jahr 2008 gibt es entsprechende Berichte, damals noch mit der Versionsverwaltung SVN. Viele Webseitenbetreiber machen den Fehler aber immer noch.

Stellenmarkt
  1. Hella Gutmann Solutions GmbH, Ihringen bei Freiburg im Breisgau
  2. Dataport, Hamburg, Altenholz bei Kiel

Wird ein Git-Repository zur Verwaltung von Webseiten eingesetzt, gibt es ein Unterverzeichnis mit dem Namen .git, in dem sich Metadaten und Änderungen des Repositorys in codierter Form befinden. Über das Problem hatte der Sicherheitsexperte Jamie Brown zuletzt im Jahr 2015 berichtet.

Auf das Problem bei dem Onlinehändler Redcoon wies uns der Golem.de-Leser Alexander Schneider hin. Er hatte in den Dateien mehrere API-Tokens von Google, Facebook und der Deutschen Post entdeckt, außerdem Hinweise auf "Payment Transaction Logs". Nach einem Hinweis an die Pressestelle des zu Media Markt und Saturn gehörenden Unternehmens wurde die Schwachstelle behoben, die Daten sind somit nicht mehr einsehbar.

Im aktuellen Fall wurden offenbar keine Kundendaten veröffentlicht, allerdings einige Tokens für Facebook und Google-Konten, die während der Einrichtung der Webseite verwendet wurden. Es dürfte sich dabei um Testaccounts von Redcoon handeln. Auch der Ordner Payment Transaction Logs enthielt keine kritischen Daten, sondern Beispieldaten für die Einrichtung der Webseite. Selbst wenn in diesem Fall also offenbar kein Schaden für Nutzer entstanden ist, sollten Webseitenbetreiber darauf achten, ihre Seiten richtig zu konfigurieren, vor allem, wenn diese professionell betrieben werden.

Ein Unternehmenssprecher teilte auf Anfrage mit: "Wir haben das entsprechende Verzeichnis umgehend gelöscht, auch wenn zu keiner Zeit Zugriff auf personenbezogene Daten, Zahlungsdaten oder sonstige vertrauliche Informationen bestand. In dem Verzeichnis befanden sich lediglich Beispieldateien für das von uns verwendete Shopsystem sowie Zugangsdaten zu Testsystemen und Diensten, die keine personenbezogenen Daten verwenden oder übermitteln."

Auch Volksverschlüsselung betroffen

Ein ähnliches Problem hatte das Volksverschlüsselungsprojekt des Fraunhofer Instituts für Sichere Informationstechnologie vor einigen Wochen, wie der Hacker und Golem.de-Autor Hanno Böck entdeckte. Die Webseite der Volksverschlüsselung wurde ebenfalls in Git entwickelt, dort konnten wir unter anderem ein Datenbankpasswort extrahieren. Dieses Passwort lautete "safran" und entspricht damit nicht gängigen Tipps für sichere Passwörter. Die Betreiber haben nach einem Hinweis von Golem.de reagiert. Mittlerweile wurde das Passwort geändert und die Konfiguration angepasst. Fraunhofer wies daraufhin, dass die Datenbank mit dem unsicheren Passwort nicht zur Verwaltung von Kundendaten eingesetzt wurde.

Ob eine Seite verwundbar ist oder nicht, kann relativ einfach geprüft werden: Wenn bei einer Webseite der Pfad http://www.beispiel.de/.git/config abrufbar ist, kann ein Angreifer Daten herunterladen. Wenn dann auf dem Server auch noch das Directory-Listing aktiv ist, ist das sehr einfach. Aber selbst bei deaktiviertem Directory-Listing können mit Hilfe von Tools des Projektes Internetwache.org Dateien heruntergeladen werden. Ein ähnliches Werkzeug für SVN hat Hanno Böck entwickelt.



Anzeige
Blu-ray-Angebote
  1. (u. a. Der Marsianer, Spaceballs, Titanic, Batman v Superman)
  2. (2 Monate Sky Ticket für nur 4,99€)
  3. (u. a. Deadpool, Alien Covenant, Assassins Creed)
  4. 4,99€

__destruct() 14. Mai 2017

Danke!

__destruct() 13. Mai 2017

Das beantwortest du dir gleich selbst: Einfach in das Device File schreiben. Weil ich...

ecv 13. Mai 2017

Die sind auf dem Server, aber nicht im Internet. Ich hab den Ordner public mit einer...

Apfelbrot 12. Mai 2017

Da viele Firmen auf Testsystemen mit einer Kopie der Originaldatenbank arbeiten glaube...

tingelchen 12. Mai 2017

An dieser Stelle sehe ich da kein Problem. Mittels Rewrite Rules und Routing kann man die...


Folgen Sie uns
       


Far Cry 5 - Fazit

Im Fazit zu Far Cry 5 zeigen wir dumme Gegner, schöne Grafik und erklären, wie Ubisoft erneut viel Potenzial verschenkt.

Far Cry 5 - Fazit Video aufrufen
P20 Pro im Kameratest: Huaweis Dreifach-Kamera schlägt die Konkurrenz
P20 Pro im Kameratest
Huaweis Dreifach-Kamera schlägt die Konkurrenz

Mit dem P20 Pro will Huawei sich an die Spitze der Smartphone-Kameras katapultieren. Im Vergleich mit der aktuellen Konkurrenz zeigt sich, dass das P20 Pro tatsächlich über eine sehr gute Kamera verfügt: Die KI-Funktionen können unerfahrenen Nutzern zudem das Fotografieren erleichtern.
Ein Test von Tobias Költzsch

  1. Android Huawei präsentiert drei neue Smartphones ab 120 Euro
  2. Wie Samsung Huawei soll noch für dieses Jahr faltbares Smartphone planen
  3. Porsche Design Mate RS Huawei bringt 512-GByte-Smartphone für 2.100 Euro

Physik: Maserlicht aus Diamant
Physik
Maserlicht aus Diamant

Ein Stickstoff-Fehlstellen-basierter Maser liefert kontinuierliche und kohärente Mikrowellenstrahlung bei Raumtemperatur. Eine mögliche Anwendung ist die Kommunikation mit Satelliten.
Von Dirk Eidemüller

  1. Colorfab 3D-gedruckte Objekte erhalten neue Farbgestaltung
  2. Umwelt China baut 100-Meter-Turm für die Luftreinigung
  3. Crayfis Smartphones sollen kosmische Strahlung erfassen

Dell XPS 13 (9370) im Test: Sehr gut ist nicht besser
Dell XPS 13 (9370) im Test
Sehr gut ist nicht besser

Mit dem XPS 13 (9370) hat Dell sein bisher exzellentes Ultrabook in nahezu allen Bereichen überarbeitet - und es teilweise verschlechtert. Der Akku etwa ist kleiner, das spiegelnde Display nervt. Dafür überzeugen die USB-C-Ports, die Kühlung sowie die Tastatur, und die Webcam wurde sinnvoller.
Ein Test von Marc Sauter und Sebastian Grüner

  1. Ultrabook Dell hat das XPS 13 ruiniert
  2. XPS 13 (9370) Dells Ultrabook wird dünner und läuft kürzer
  3. Ultrabook Dell aktualisiert XPS 13 mit Quadcore-Chip

    •  /