Responsible Disclosure ist nicht immer leicht
Das Entdecken von neuen, unbekannten Schwachstellen macht Spaß, keine Frage. Eher unspaßig ist aber, was man dann als guter Pentester Mensch mit den gewonnenen Informationen anstellt. In diesem Blogpost beleuchte ich Probleme in der Kommunikation zwischen Pentester und Softwarehersteller und möchte auch ein paar Tipps an die Hand geben – für beide Seiten.
secuvera-SA-2017-03 und secuvera-SA-2017-04: Mehrere Schwachstellen in Inventarisierungssoftware OCS Inventory NG aufgedeckt
Im Rahmen des intern stattfindenden Labdays haben wir das quelloffene Inventory-Management-Werkzeug „Open Computer and Software Repository Next Generation“ (=OCS Inventory NG) der französischen Firma factorfx mittels Pentesting-Methoden näher unter die Lupe genommen. Dabei konnten wir zwei Schwächen in der Webanwendung zur Steuerung der Lösung identifizieren. Eine der beiden Schwachstellen ermöglicht die vollständige Kompromittierung der Datenbank. Mit diesem Blog-Post möchte ich […]
weiterlesen …
Während derzeit sich vor Allem VW für Software-Manipulationen im Kreuzfeuer befindet, häufen sich Meldungen über Hintertüren in Software von Sicherheitsanbietern. Ein paar Beispiele der jüngsten Vergangenheit: Im Betriebssystem ScreenOS von Juniper wurden – durch den Hersteller selbst – zwei Schwachstellen, die man getrost als Hintertüren bezeichnen kann, gefunden. Die erste ermöglicht den Zugriff als Administrator mit dem Standardpasswort „<<< %s(un=’%s‘) […]
weiterlesen …
Yes, enable revocation checking!
CVE-2014-0160, besser bekannt als Heartbleed, führt dazu, dass sich zur Zeit gefühlt die halbe Welt mit Verschlüsselung und Code-Qualität beschäftigt. Gut so. Just zu Ostern überrascht Adam Langley – bei Google verantwortlich für die Google HTTPS-Infrastruktur und den Netzwerk-Stack in Google Chrome – mit der Ansage, dass Revoction Checking doch Banane sei. Was ist Revocation Checking? Beim Aufbau einer verschlüsselten […]
weiterlesen …
Die Wolke hat keine Lücken
Die Schwachstelle in Amazons Cloud Service, die von Forschern der Ruhr-Universität Bochum gefunden wurde, ist keine Schwachstelle in Cloud-Diensten. Das liest sich jedoch leider in manchen Meldungen, als sei der Cloud-Dienst verwundbar – nur wenige wählen die Überschrift besser. Vielmehr bestanden die Schwachstelle(n) in den Webanwendungen, die zur Verwaltung dieser Dienste genutzt werden. Schwachstelle in Webanwendung != Schwachstelle im Cloud-Computing […]
weiterlesen …