Abo
  • IT-Karriere:

Sicherheitslücke: Fehlerhaft konfiguriertes Git-Verzeichnis bei Redcoon

Was haben der Online-Händler Redcoon und die Volksverschlüsselung gemeinsam? Ein unsicher konfiguriertes Git-Repository. Immer wieder machen Webseitenbetreiber denselben Fehler.

Artikel von veröffentlicht am
Die Webseite von Redcoon
Die Webseite von Redcoon (Bild: Screenshot Golem.de)

Immer wieder werden Webseiten entdeckt, die durch eine fehlerhafte Konfiguration des Versionsverwaltungssystems Git vertrauliche Daten preisgeben. Aktuell sind der Onlinehändler Redcoon und die Webseite des Volksverschlüsselungsprojektes des Fraunhofer Institut für Sichere Informationstechnologie (SIT) betroffen. Das Problem mit den fehlerhaften Konfigurationen ist seit längerem bekannt, bereits aus dem Jahr 2008 gibt es entsprechende Berichte, damals noch mit der Versionsverwaltung SVN. Viele Webseitenbetreiber machen den Fehler aber immer noch.

Stellenmarkt
  1. BWI GmbH, München
  2. ENERCON GmbH, Aurich

Wird ein Git-Repository zur Verwaltung von Webseiten eingesetzt, gibt es ein Unterverzeichnis mit dem Namen .git, in dem sich Metadaten und Änderungen des Repositorys in codierter Form befinden. Über das Problem hatte der Sicherheitsexperte Jamie Brown zuletzt im Jahr 2015 berichtet.

Auf das Problem bei dem Onlinehändler Redcoon wies uns der Golem.de-Leser Alexander Schneider hin. Er hatte in den Dateien mehrere API-Tokens von Google, Facebook und der Deutschen Post entdeckt, außerdem Hinweise auf "Payment Transaction Logs". Nach einem Hinweis an die Pressestelle des zu Media Markt und Saturn gehörenden Unternehmens wurde die Schwachstelle behoben, die Daten sind somit nicht mehr einsehbar.

Im aktuellen Fall wurden offenbar keine Kundendaten veröffentlicht, allerdings einige Tokens für Facebook und Google-Konten, die während der Einrichtung der Webseite verwendet wurden. Es dürfte sich dabei um Testaccounts von Redcoon handeln. Auch der Ordner Payment Transaction Logs enthielt keine kritischen Daten, sondern Beispieldaten für die Einrichtung der Webseite. Selbst wenn in diesem Fall also offenbar kein Schaden für Nutzer entstanden ist, sollten Webseitenbetreiber darauf achten, ihre Seiten richtig zu konfigurieren, vor allem, wenn diese professionell betrieben werden.

Ein Unternehmenssprecher teilte auf Anfrage mit: "Wir haben das entsprechende Verzeichnis umgehend gelöscht, auch wenn zu keiner Zeit Zugriff auf personenbezogene Daten, Zahlungsdaten oder sonstige vertrauliche Informationen bestand. In dem Verzeichnis befanden sich lediglich Beispieldateien für das von uns verwendete Shopsystem sowie Zugangsdaten zu Testsystemen und Diensten, die keine personenbezogenen Daten verwenden oder übermitteln."

Auch Volksverschlüsselung betroffen

Ein ähnliches Problem hatte das Volksverschlüsselungsprojekt des Fraunhofer Instituts für Sichere Informationstechnologie vor einigen Wochen, wie der Hacker und Golem.de-Autor Hanno Böck entdeckte. Die Webseite der Volksverschlüsselung wurde ebenfalls in Git entwickelt, dort konnten wir unter anderem ein Datenbankpasswort extrahieren. Dieses Passwort lautete "safran" und entspricht damit nicht gängigen Tipps für sichere Passwörter. Die Betreiber haben nach einem Hinweis von Golem.de reagiert. Mittlerweile wurde das Passwort geändert und die Konfiguration angepasst. Fraunhofer wies daraufhin, dass die Datenbank mit dem unsicheren Passwort nicht zur Verwaltung von Kundendaten eingesetzt wurde.

Ob eine Seite verwundbar ist oder nicht, kann relativ einfach geprüft werden: Wenn bei einer Webseite der Pfad http://www.beispiel.de/.git/config abrufbar ist, kann ein Angreifer Daten herunterladen. Wenn dann auf dem Server auch noch das Directory-Listing aktiv ist, ist das sehr einfach. Aber selbst bei deaktiviertem Directory-Listing können mit Hilfe von Tools des Projektes Internetwache.org Dateien heruntergeladen werden. Ein ähnliches Werkzeug für SVN hat Hanno Böck entwickelt.



Anzeige
Spiele-Angebote
  1. 4,99€
  2. 25,49€
  3. (-75%) 9,99€
  4. 4,99€

__destruct() 14. Mai 2017

Danke!

__destruct() 13. Mai 2017

Das beantwortest du dir gleich selbst: Einfach in das Device File schreiben. Weil ich...

ecv 13. Mai 2017

Die sind auf dem Server, aber nicht im Internet. Ich hab den Ordner public mit einer...

Apfelbrot 12. Mai 2017

Da viele Firmen auf Testsystemen mit einer Kopie der Originaldatenbank arbeiten glaube...

tingelchen 12. Mai 2017

An dieser Stelle sehe ich da kein Problem. Mittels Rewrite Rules und Routing kann man die...


Folgen Sie uns
       


Geräuschunterdrückung von drei ANC-Kopfhörern im Vergleich

Wir haben den neuen ANC-Kopfhörer von Audio Technica gegen die Konkurrenz von Bose und Sony antreten lassen. Im Video sind die Unterschiede bei der ANC-Leistung zwischen dem ATH-ANC900BT, dem Quiet Comfort 35 II und dem WH-1000XM3 deutlich hörbar.

Geräuschunterdrückung von drei ANC-Kopfhörern im Vergleich Video aufrufen
Adblock Plus: Adblock-Filterregeln können Code ausführen
Adblock Plus
Adblock-Filterregeln können Code ausführen

Unter bestimmten Voraussetzungen können Filterregeln für Adblocker mit einer neuen Funktion Javascript-Code in Webseiten einfügen. Adblock Plus will reagieren und die entsprechende Funktion wieder entfernen. Ublock Origin ist nicht betroffen.
Von Hanno Böck


    Urheberrechtsreform: Was das Internet nicht vergessen sollte
    Urheberrechtsreform
    Was das Internet nicht vergessen sollte

    Die Reform des europäischen Urheberrechts ist eine Niederlage für viele Netzaktivisten. Zwar sind die Folgen der Richtlinie derzeit kaum absehbar. Doch es sollten die richtigen Lehren aus der jahrelangen Debatte mit den Internetgegnern gezogen werden.
    Eine Analyse von Friedhelm Greis

    1. Leistungsschutzrecht VG Media will Milliarden von Google
    2. Urheberrecht Uploadfilter und Leistungsschutzrecht endgültig beschlossen
    3. Urheberrecht Merkel bekräftigt Zustimmung zu Uploadfiltern

    Falcon Heavy: Beim zweiten Mal wird alles besser
    Falcon Heavy
    Beim zweiten Mal wird alles besser

    Die größte Rakete der Welt fliegt wieder. Diesmal mit voller Leistung, einem Satelliten und einer gelungenen Landung im Meer. Die Marktbedingungen sind für die Schwerlastrakete Falcon Heavy in nächster Zeit allerdings eher schlecht.
    Von Frank Wunderlich-Pfeiffer und dpa

    1. SpaceX Dragon-Raumschiff bei Test explodiert
    2. SpaceX Raketenstufe nach erfolgreicher Landung umgekippt
    3. Raumfahrt SpaceX zündet erstmals das Triebwerk des Starhoppers

      •  /