Original-URL des Artikels: https://www.golem.de/news/zertifikate-trustico-verwundbar-fuer-root-code-injection-1803-133089.html    Veröffentlicht: 01.03.2018 17:49    Kurz-URL: https://glm.io/133089

Zertifikate

Trustico verwundbar für Root-Code-Injection

Der Zertifikatsverkäufer Trustico hat ein paar noch gravierendere Sicherheitsprobleme. Auf der Webseite fand sich eine triviale Script-Injection, mit der man Code mit Root-Rechten ausführen konnte.

Eine Sammlung von privaten Schlüsseln von Kunden war wohl nicht das einzige Problem beim Zertifikatsaussteller Trustico. Verschiedene Personen posteten auf Twitter Screenshots von Code-Injection-Angriffen über die Webseite des Zertifikatsausstellers. Diese liefen dabei sogar mit Root-Rechten.

Golem hatte heute berichtet, dass 23.000 Zertifikate, die von Trustico verkauft wurden, gestern zurückgezogen wurden. Der Hintergrund: Trustico hatte die privaten Schlüssel zu diesen Zertifikaten und bei Digicert eine Revocation beantragt. Die Zertifikate waren ursprünglich von Symantec ausgestellt worden.

Command Substitution erlaubt Codeausführung mit Root-Rechten

Der Vorfall führte nun dazu, dass sich einige Leute die Webseite von Trustico genauer angeschaut haben. Das Formular, in das man einen Domainnamen zur Verifizierung einträgt, war dabei offenbar für eine Script-Injection-Attacke anfällig.

Mittels einer Command-Substitution konnte man dort Befehle ausführen, beispielsweise indem man dort eine Eingabe der Form $(curl http://example.com/) eintrug. Das deutet darauf hin, dass die Eingabedaten von Trustico ungeprüft an ein Kommandozeilentool übergeben werden.

Doch nicht nur das: Die Befehle wurden offenbar auch mit Root-Rechten ausgeführt. Damit wäre es einem Angreifer trivial möglich gewesen, den Server zu übernehmen.

Die Webseite von Trustico ist inzwischen offline, zurzeit ist dort nur eine Meldung "Service Unavailable" zu sehen.  (hab)


Verwandte Artikel:
Trustico/Digicert: Chaos um 23.000 Zertifikate und private Schlüssel   
(01.03.2018, https://glm.io/133077 )
HTTPS: Viele Webseiten nutzen alte Symantec-Zertifikate   
(07.02.2018, https://glm.io/132622 )
Bundesrechtsanwaltskammer: Anwälte sollen BeA sofort deinstallieren   
(26.01.2018, https://glm.io/132421 )
Sicherheitsrisiko: Oneplus-Smartphones kommen mit eingebautem Root-Zugang   
(15.11.2017, https://glm.io/131156 )
Dynamics 365: Microsoft verteilt privaten Schlüssel an alle Kunden   
(08.12.2017, https://glm.io/131542 )

© 1997–2019 Golem.de, https://www.golem.de/