Abo
  • Services:

SQL-Injection: Sicherheitslücke erlaubt Zugriff auf Sony-Kundendaten

Eine SQL-Injection-Lücke erlaubt den Zugriff auf Kundendaten des Playstation Networks. Sony wurde bereits vor zwei Wochen über die Sicherheitslücke informiert, sie wurde jedoch bisher nicht geschlossen. Es ist nicht der erste Vorfall im Playstation-Network.

Artikel veröffentlicht am , Hanno Böck
Beliebt bei Spielern und offenbar auch bei Hackern: das Playstation Network
Beliebt bei Spielern und offenbar auch bei Hackern: das Playstation Network (Bild: Screenshot Golem.de)

Ein Sicherheitsforscher hat auf der Webseite von Sony eine kritische SQL-Injection-Lücke gefunden. Mit der Sicherheitslücke lassen sich die Kundendaten von Teilnehmern des Playstation Networks auslesen.

Stellenmarkt
  1. IKK classic, Bergisch Gladbach, Bielefeld, Erfurt
  2. Hirschvogel Holding GmbH, Denklingen

Entdeckt wurde die Lücke von Aria Akhavan. Der IT-Sicherheitsexperte hatte Sony nach eigenen Angaben bereits vor zwei Wochen über die Existenz der Lücke informiert. Reagiert hat Sony bisher nicht. Die Lücke nutzt eine Funktion auf der Webseite des Supports von Sony, dort kann mittels eines manipulierten Parameters in einer URL eine Anfrage an den SQL-Datenbankserver von Sony abgeschickt werden. Die Ausgabe erhält ein potenzieller Angreifer direkt im Browser.

Weitere Details zur Ausnutzung der Lücke liegen Golem.de vor. Aufgrund der Schwere der Lücke und des damit möglichen Zugriffs auf zahlreiche Kundendaten haben wir uns entschieden, die Details nicht zu veröffentlichen. Wir haben Sony um eine Stellungnahme gebeten, wir haben jedoch bisher noch keine Antwort erhalten.

Sonys Playstation Network war zuletzt 2011 Opfer eines größeren Hackerangriffs. Damals wurden von 77 Millionen Nutzern die Zugangsdaten und persönliche Daten gestohlen. In der Folge hatten sich in zahlreichen Ländern Behörden und Politiker mit den Vorfällen befasst und von Sony einen besseren Schutz von Kundendaten gefordert. Auch im August dieses Jahres gab es einen Angriff auf das Playstation Network, es handelte sich aber nur um eine Distributed-Denial-of-Service-Attacke (DDoS).

SQL-Injection-Angriffe gehören zu den verbreitetsten und gefährlichsten Sicherheitslücken in Webanwendungen. Erst vor kurzem war eine gravierende SQL-Injection-Lücke im Content-Management-System Drupal bekanntgeworden, zahlreiche Webseiten wurden damit in den vergangenen Tagen gehackt.

SQL-Injection-Lücken treten immer dann auf, wenn eine Webanwendung Eingaben von Nutzern ungeprüft und ungefiltert in SQL-Befehle einfügt. Durch den konsequenten Einsatz von sogenannten Prepared Statements lassen sich SQL-Injection-Lücken vollständig verhindern. Gerade bei sicherheitskritischen Anwendungen ist der Einsatz von Prepared Statements daher dringend anzuraten.



Anzeige
Hardware-Angebote
  1. (reduzierte Überstände, Restposten & Co.)
  2. 18,99€

AriaAk 03. Nov 2014

Die Lücke hat nichts mit der Firmware deiner Playstation zu tun und kann darum auch nicht...

JackRussell 03. Nov 2014

Mittlerweile kann man bei deren Fahrlässigkeit nur noch mit dem Kopf schütteln. Aber...

iKlikla 02. Nov 2014

Welche Daten betroffen sind kann man nicht genau sagen.. Sony könnte für jeden Bereich...

DNAofDeath 02. Nov 2014

Selten so einen Schwachsinn gelesen. Schonmal was von Pen-Testing gehört? Von...

DNAofDeath 02. Nov 2014

Erzähl das nicht uns, erzähl das mal Sony XDDDDD


Folgen Sie uns
       


Geforce GTX 1660 Ti im Test

Die Geforce GTX 1660 Ti ist mit 300 Euro die bisher günstigste Turing-Karte von Nvidia, sie hat aber keine RT-Cores für Raytracing oder Tensor-Cores für DLSS-Kantenglättung.

Geforce GTX 1660 Ti im Test Video aufrufen
Verschlüsselung: Die meisten Nutzer brauchen kein VPN
Verschlüsselung
Die meisten Nutzer brauchen kein VPN

VPN-Anbieter werben aggressiv und preisen ihre Produkte als Allheilmittel in Sachen Sicherheit an. Doch im modernen Internet nützen sie wenig und bringen oft sogar Gefahren mit sich.
Eine Analyse von Hanno Böck

  1. Security Wireguard-VPN für MacOS erschienen
  2. Security Wireguard-VPN für iOS verfügbar
  3. Outline Digitalocean und Alphabet-Tochter bieten individuelles VPN

Tom Clancy's The Division 2 im Test: Richtig guter Loot-Shooter
Tom Clancy's The Division 2 im Test
Richtig guter Loot-Shooter

Ubisofts neuer Online-Shooter beweist, dass komplexe Live-Spiele durchaus von Anfang an überzeugen können. Bis auf die schwache Geschichte und Gegner, denen selbst Dauerbeschuss kaum etwas anhaben kann, ist The Division 2 ein spektakuläres Spiel.
Von Jan Bojaryn

  1. Netztest Connect Netztest urteilt trotz Funklöchern zweimal sehr gut
  2. Netztest Chip verteilt viel Lob trotz Funklöchern

Flugzeugabsturz: Boeing 737 MAX geht wegen Softwarefehler außer Betrieb
Flugzeugabsturz
Boeing 737 MAX geht wegen Softwarefehler außer Betrieb

Wegen eines bekannten Softwarefehlers wird der Flugbetrieb für Boeings neustes Flugzeug fast weltweit eingestellt - Die letzte Ausnahme war: die USA. Der Umgang der amerikanischen Flugaufsichtsbehörde mit den Problemen des neuen Flugzeugs erscheint zweifelhaft.

  1. Boeing Rollout der neuen 777X in wenigen Tagen
  2. Boeing 747 Der Jumbo Jet wird 50 Jahre alt
  3. Lufttaxi Uber sucht eine weitere Stadt für Uber-Air-Test

    •  /