| Der Zertifikatsreseller Trustico
musste 23.000 Zertifikate zurückziehen. Der Grund dafür
ist, dass Trustico die privaten Schlüssel zu diesen Zertifikaten
bei Digicert eine Revocation beantragt hatte. Ursprünglich waren
die Zertifikate von Symantec ausgestellt worden.
Das führte nun dazu, dass sich einige Leute die Webseite von
Trustico genauer angeschaut haben. Offenbar war das Formular, in
das ein Domainname zur Verifizierung eintragen wird, für eine
Script-Injection-Attacke anfällig.
Dort war es möglich mittels einer Command-Substitution
Befehle auszuführen. Das deutet darauf hin, dass die Eingabedaten
von Trustico ungeprüft an ein Kommandozeilentool übergeben
werden. Die Befehle konnten auch mit Root-Rechten ausgeführt
werden, wodurch eine Übernahme des Servers möglich wäre.
(pp, hannover)
(siehe auch golem.de:)
Hannover · EDV-Beratung ·
Linux · Novell · Microsoft · Seminar ·
IT-Consult · Netzwerk · LPIC · CLE
|
