Sicherheitslücke: Fehlerhaft konfiguriertes Git-Verzeichnis bei Redcoon

Was haben der Online-Händler Redcoon und die Volksverschlüsselung gemeinsam? Ein unsicher konfiguriertes Git-Repository. Immer wieder machen Webseitenbetreiber denselben Fehler.

Artikel von veröffentlicht am
Die Webseite von Redcoon
Die Webseite von Redcoon (Bild: Screenshot Golem.de)

Immer wieder werden Webseiten entdeckt, die durch eine fehlerhafte Konfiguration des Versionsverwaltungssystems Git vertrauliche Daten preisgeben. Aktuell sind der Onlinehändler Redcoon und die Webseite des Volksverschlüsselungsprojektes des Fraunhofer Institut für Sichere Informationstechnologie (SIT) betroffen. Das Problem mit den fehlerhaften Konfigurationen ist seit längerem bekannt, bereits aus dem Jahr 2008 gibt es entsprechende Berichte, damals noch mit der Versionsverwaltung SVN. Viele Webseitenbetreiber machen den Fehler aber immer noch.

Stellenmarkt
  1. SAP Intelligent Enterprise Consultant (m/w/d) - Analytics
    Lufthansa Industry Solutions AS GmbH, Norderstedt
  2. Fachbereichsleiter (m/w/d) Applikationen
    Stadtwerke Bonn GmbH, Bonn
Detailsuche

Wird ein Git-Repository zur Verwaltung von Webseiten eingesetzt, gibt es ein Unterverzeichnis mit dem Namen .git, in dem sich Metadaten und Änderungen des Repositorys in codierter Form befinden. Über das Problem hatte der Sicherheitsexperte Jamie Brown zuletzt im Jahr 2015 berichtet.

Auf das Problem bei dem Onlinehändler Redcoon wies uns der Golem.de-Leser Alexander Schneider hin. Er hatte in den Dateien mehrere API-Tokens von Google, Facebook und der Deutschen Post entdeckt, außerdem Hinweise auf "Payment Transaction Logs". Nach einem Hinweis an die Pressestelle des zu Media Markt und Saturn gehörenden Unternehmens wurde die Schwachstelle behoben, die Daten sind somit nicht mehr einsehbar.

Im aktuellen Fall wurden offenbar keine Kundendaten veröffentlicht, allerdings einige Tokens für Facebook und Google-Konten, die während der Einrichtung der Webseite verwendet wurden. Es dürfte sich dabei um Testaccounts von Redcoon handeln. Auch der Ordner Payment Transaction Logs enthielt keine kritischen Daten, sondern Beispieldaten für die Einrichtung der Webseite. Selbst wenn in diesem Fall also offenbar kein Schaden für Nutzer entstanden ist, sollten Webseitenbetreiber darauf achten, ihre Seiten richtig zu konfigurieren, vor allem, wenn diese professionell betrieben werden.

Golem Akademie
  1. Microsoft 365 Security Workshop
    9.-11. Juni 2021, Online
  2. Penetration Testing Fundamentals
    23.-24. September 2021, online
Weitere IT-Trainings

Ein Unternehmenssprecher teilte auf Anfrage mit: "Wir haben das entsprechende Verzeichnis umgehend gelöscht, auch wenn zu keiner Zeit Zugriff auf personenbezogene Daten, Zahlungsdaten oder sonstige vertrauliche Informationen bestand. In dem Verzeichnis befanden sich lediglich Beispieldateien für das von uns verwendete Shopsystem sowie Zugangsdaten zu Testsystemen und Diensten, die keine personenbezogenen Daten verwenden oder übermitteln."

Auch Volksverschlüsselung betroffen

Ein ähnliches Problem hatte das Volksverschlüsselungsprojekt des Fraunhofer Instituts für Sichere Informationstechnologie vor einigen Wochen, wie der Hacker und Golem.de-Autor Hanno Böck entdeckte. Die Webseite der Volksverschlüsselung wurde ebenfalls in Git entwickelt, dort konnten wir unter anderem ein Datenbankpasswort extrahieren. Dieses Passwort lautete "safran" und entspricht damit nicht gängigen Tipps für sichere Passwörter. Die Betreiber haben nach einem Hinweis von Golem.de reagiert. Mittlerweile wurde das Passwort geändert und die Konfiguration angepasst. Fraunhofer wies daraufhin, dass die Datenbank mit dem unsicheren Passwort nicht zur Verwaltung von Kundendaten eingesetzt wurde.

Ob eine Seite verwundbar ist oder nicht, kann relativ einfach geprüft werden: Wenn bei einer Webseite der Pfad http://www.beispiel.de/.git/config abrufbar ist, kann ein Angreifer Daten herunterladen. Wenn dann auf dem Server auch noch das Directory-Listing aktiv ist, ist das sehr einfach. Aber selbst bei deaktiviertem Directory-Listing können mit Hilfe von Tools des Projektes Internetwache.org Dateien heruntergeladen werden. Ein ähnliches Werkzeug für SVN hat Hanno Böck entwickelt.

Bitte aktivieren Sie Javascript.
Oder nutzen Sie das Golem-pur-Angebot
und lesen Golem.de
  • ohne Werbung
  • mit ausgeschaltetem Javascript
  • mit RSS-Volltext-Feed


Aktuell auf der Startseite von Golem.de
Frommer Legal
Große Abmahnwelle wegen Filesharing in Deutschland

Viele Menschen suchen derzeit Hilfe bei einer Anwaltskanzlei, weil sie wegen angeblich illegalem Filesharing abgemahnt wurden.

Frommer Legal: Große Abmahnwelle wegen Filesharing in Deutschland
Artikel
  1. Kriminalität: Dresdnerin wegen Mordauftrag im Darknet angeklagt
    Kriminalität
    Dresdnerin wegen Mordauftrag im Darknet angeklagt

    Eine 41-Jährige aus Dresden ist angeklagt, im Darknet einen Mord in Auftrag gegeben zu haben. Für die Ermordung der neuen Freundin ihres Ex-Mannes soll sie 0,2 Bitcoin geboten haben.

  2. Fernseher zum Bestpreis beim Amazon Prime Day
     
    Fernseher zum Bestpreis beim Amazon Prime Day

    Neben vielen anderen interessanten Produkten gibt es viele hochqualitative Fernseher zu niedrigen Preisen.
    Ausgewählte Angebote des E-Commerce-Teams

  3. Ärger um Drachenlord: Dorf verhängt Allgemeinverfügung wegen umstrittenem Youtuber
    Ärger um Drachenlord
    Dorf verhängt Allgemeinverfügung wegen umstrittenem Youtuber

    Seit Jahren ist das Dorf Altschauerberg Schauplatz von Provokationen gegen den Youtuber Rainer Winkler. Jetzt sollen neue Gesetze die Ordnung wiederherstellen.

__destruct() 14. Mai 2017

Danke!

__destruct() 13. Mai 2017

Das beantwortest du dir gleich selbst: Einfach in das Device File schreiben. Weil ich...

ecv 13. Mai 2017

Die sind auf dem Server, aber nicht im Internet. Ich hab den Ordner public mit einer...

Apfelbrot 12. Mai 2017

Da viele Firmen auf Testsystemen mit einer Kopie der Originaldatenbank arbeiten glaube...

tingelchen 12. Mai 2017

An dieser Stelle sehe ich da kein Problem. Mittels Rewrite Rules und Routing kann man die...


Folgen Sie uns
       


  • Schnäppchen, Rabatte und Top-Angebote
    Die besten Deals des Tages
    Schnäppchen • Amazon Prime Day nur noch heute • SSD (u. a. Samsung 980 Pro 1TB PCIe 4.0 140,19€) • Gaming-Laptops von Razer & MSI • Crucial 32GB Kit DDR4-4000 269,79€ • 30% auf Warehouse • Primetime bei Saturn (u. a. Switch Lite 166,24€) • Gaming-Chairs • MM Gönn dir Dienstag [Werbung]
    •  /