18.02.2008 11:17
Schwachstelle in OpenCA ermöglicht Angreifern Erzeugen unautorisierter Zertifikate
Angreifer können damit die Firewall in verwundbaren Routern abschalten oder neue Konten zu Content-Management-Systeme hinzufügen: Cross Site Request Forgery (CSRF) oder kurz Session Riding. Auch die Open-Source-Certification-Authority OpenCA weist in dieser Hinsicht ein Problem auf. Besucht ein CA-Administrator eine manipulierte Webseite, während er das OpenCA-Frontend in einem anderen Browserfenster geöffnet hat, kann ein Angreifer unter Umständen eigene Zertifikate im Kontext des Admins generieren. Alexander Klink weist in einem Fehlerbericht darauf hin, dass OpenCA nur eine einmalige Authentifizierung erfordert und die Session über den gesamten Verlauf nur ein Cookie verwendet.
Da Web-Formulare nicht explizit geschützt seien, könne ein Angreifer etwa bestimmte Requests in Image-Tags einer Webseite einbetten und so über den Browser des Administrators an die CA senden. Einige Beispiele führt Klink in seinem Bericht auf. Zwar erfordere ein Angriff noch, einige Seriennummern zu erraten, dies sei aber in der Regel recht einfach. Betroffen ist OpenCA 0.9.2.5. Ein offizielles Update gibt es nicht, allerdings sollen die Entwickler Anfang Januar einen von Klink entwickelten Patch erhalten haben. Da die Entwickler aber laut Klink seit einiger Zeit nicht mehr reagieren, hat er seinen Bericht nebst Patch nun alleine veröffentlicht. Klink gibt aber zu, dass der Patch nicht ausreichend getestet ist. Anwender sollten ihn also auf keinen Fall einfach so in ein Produktiv-System einspielen.
Der Patch fügt allen internen Links und Formularen ein zusätzliches Token als Parameter hinzu, den der Server aus dem SHA-1-Hash der Session-ID im Cookie bildet. Der Server prüft bei jedem Aufruf, ob der Request den richtigen Token enthält.
Siehe dazu auch:
- OpenCA - Cross Site Request Forgery (XSRF), Bericht von Alexander Klink
(dab)
Unsere Entdeckung, dass via Skype verschickte URLs von Microsoft besucht werden, hat für einigen Aufruhr gesorgt. Mittlerweile liegen etwas mehr Informationen dazu auf dem Tisch. 
Die aktuelle BKA-Trojaner sperrt nicht nur den Rechner, sondern legt auch Bilder mit Kinderpornografie auf dem System ab. Mit Desinfec't kann man diesen Unrat aufspüren und beseitigen. 
Der Krypto-Experte Karsten Nohl kritisiert die Absenkung des Schutzniveaus für Steuer-, Sozial- und Gerichtsdaten im Rahmen der gesetzlichen Anpassungen für De-Mail. 
Wer verhindern will, dass Nutzer auf fremde Kalender zugreifen oder eigenen PHP-Code in den Server einschleusen, sollte baldmöglichst auf eine der aktuellen Versionen umsteigen. 
Die Mozilla-Entwickler haben zahlreiche Sicherheitslöcher in Firefox und Thunderbird gestopft. Durch eine kann ein Angreifer, der bereits einen Fuß in der Tür hat, an Systemrechte gelangen. 
