Pakete an Sicherheitsforscher

Aus der Kategorie: "was der ABBUC Vorstand sonst so macht" ...

ich habe heute 2 Pakete mit ABBUC T-Shirts, Magazin, Poison CD und Süssigkeiten als "Dankeschön" an Sicherheitsforscher versendet welche Sicherheitslücken auf der ABBUC Webseite gefunden und uns gemeldet haben (die Sicherheitslücken wurden sofort gefixed).

Eines der Pakete geht nach Pakistan, eines nach Deutschland.

Insgesamt 4 Stunden Arbeit.

Tigerduck schrieb: Pakistan?

Ich brauche mehr Details! (Frei nach Didi)

Ein Sicherheitsforscher und sein Team in Pakistan hat eine Sicherheitslücke auf der ABBUC Webseite gefunden:

Team I have found a vulnerability in your site.

bypass X-Frame-Options ( Proxy protection NOT used )

Proxy protection NOT used , i can bypass X-Frame-Options header and recreate clickjacking on the whole domain. I see that you don't have a reverse proxy protection that allows attackers to proxy your website rather than iframe it.

Er hat gleich einen "Proof-of-Concept" dazu-geliefert welcher diese Lücke bestätigt.

Und auch gleich die Lösung in Form eines neuen CSP-Header, welchen ich noch nicht kannte:

Content-Security-Policy: frame-ancestors 'self' is better, because it checks all frame ancestors You should implement CSP header to avoid these sort of attacks

Diese Sicherheitslücke erlaubte es die ABBUC Webseite auf einer fremden Seite (die Seite des Angreifers) einzubetten, Besucher der ABBUC Seite auf die Seite des Angreifers umzulenken, und dann dort sensitive Daten des Benutzers (z.B. Passwörter) auszulesen.

Die ABBUC Webseite liefert nun den CSP " frame-ancestors 'none';" aus, um diesen Angriff zu verhindern.

Mehr Informationen über diesen CSP: https://developer.mozilla.org/en-US/docs/Web/HTTP/Headers/Content-Security-Policy/frame-ancestors

Genug Details?

Kveldulfur schrieb: Hallo!

Ach herje... diese "Sicherheitsforscher" sind genauso Spammer, wie alle anderen. Wenn man dort einmal bezahlt, wird man diese nicht mehr los...

Ich kenne einen Kunden, der hat auch auf ein Hinweise, dass die Webseite unsicher ist, reagiert. Das war 2021... seitdem hat er regelmäßig bis heute bereits über 30 solcher E-Mails erhalten. Dabei waren viele der Hinweise doppelt und von unterschiedlichen Absendern. Die Nützlichkeit sei mal dahin gestellt.

Aus ethischen Gründen fühlen sich diese Experten verpflichtet einem auf die Probleme der Webseite hinzuweisen und erwarten natürlich eine Belohnung. Sollte man nicht zahlen, wird einem nach einiger Zeit damit gedroht, dass die Sicherheitslücken in einem Blog "zu Bildungszwecke" veröffentlicht werden!

Also ich kann nur zur Vorsicht raten!

Grüße

Ich bin mir der Problematik bewusst, da gibt es einen grossen "graubereich" zwischen "Black-Hat" (Boesen) und "White-Hat" (guten) Sicherheitsforschern. Viele machen beides, sind daher "grau".

In diesem Fall waren

a) die Meldungen korrekt b) die Sicherheitsproblemaik nachvollziehbar c) eine Loesung wurde mitgeliefert

Der ABBUC zahlt keine Bug-Bounties, aber als Zeichen der Anerkennung finde ich ein ABBUC Geschenk angemessen.

Es gibt Menschen, welche von den gezahlten Bug-Bounties (z.B. in Pakistan, Indien, Brasilien, Mexiko etc) leben. Das ist legitim.

Als Firma sollte man auf der Webseite oder in der "security.txt" (RFC 9116 -- muss ich fuer den ABBUC auch noch einrichten) die Bug-Bounty Policy dokumentieren (wie man Meldungen entgegennimmt, wie und ob man Bug-Bounties zahlt). Es gibt auch Dienstleister, welche die Bug-Bounties fuer Firmen organisieren.

Generell sollte man diese Meldungen nicht ignorieren, sondern den gemeldeten Fehlern nachgehen und wenn sich die Fehler bestaetigen lassen, die Fehler beheben. Wenn die Meldung korrekt und legitim war, ist es ein guter Stil sich auch zu bedanken.

Dr. Irata schrieb: ... also ich persönlich sehe das auch extrem skeptisch! Sicherheitsforscher sind für mich potentielle Hacker mit mindestens gleichem know how ... solche Meldungen ignoriere ich immer komplett, um aus deren "Raster" zu fallen. Ich frage mich auch, was ist denn die Motivation eines jungen Mannes aus Pakistan eine deutsche Seite zu scannen...

Wenn man nach Sicherheitsproblemen im Internet sucht, dann sucht man IP-Adressenbereiche ab. Und die sind nicht länderspezifisch.

Dr. Irata schrieb: Sicherheitsforscher sind für mich potentielle Hacker mit mindestens gleichem know how ... solche Meldungen ignoriere ich immer komplett, um aus deren "Raster" zu fallen.

Ja, um Sicherheitsforscher muss man die Werkzeuge und Verfahren der "bösen" Seite kennen und auch benutzen können. Auch ich bin ein "Hacker", aber einer von der guten Seite. Ich meinen Fachgebiet DNS und IPv6 kann ich auch etliche Server im Internet "zerlegen", wenn ich wollte. Mache ich aber nicht. Ich melde Sicherheitsprobleme auch an die jeweiligen Betreiber.

Wenn Du so eine Meldung als Benutzer eines Heim-Rechners (Laptop, Desktop, Mobiltelefon) bekommst, dann ist das Spam, und sollte auch ignoriert werden.

Wenn es sich um einen Rechner im Internet handelt, dann sollte man aktiv werden und auf jeden Fall prüfen ob die Sicherheitslücke existiert und diese fixen (ggf. mit externer Hilfe).

Diese Meldungen welche wir bekommen haben waren "spot on", mit guter Beschreibung des Fehlers, welchen ich auch direkt nachvollziehen und auch fixen konnte. Da habe ich keine Probleme mich zu bedanken.

Das waren keine allgemeinen unspezifischen Spam-Sicherheitsmeldungen (die bekomme ich im Dutzend pro Tag, die filtert aber mein Spam-Filter automatisch aus).

Kveldulfur schrieb: Hallo!

Hier eine Seite zu dem Thema: https://www.intruder.io/blog/what-are-fake-clickjacking-bug-bounty-reports

Grüße Janko

Hi Janko,

danke für den Link.

Ich stimme nicht allen Inhalten dieses Artikels zu.

Ja, diese "Sicherheitsforscher" (in "", denn es sind nicht wirklich "Forscher" die neue Sicherheitslücken finden) scannen automatisiert das Internet und versenden diese Mails automatisiert. Die Schaffenshöhe ist verglichen mit dem Finden von neuen Sicherheitsproblemen gering, aber sie ist vorhanden (Scannen von vielen Rechnern braucht Ressourcen und Zeit). Diese Personen oder Firmen fragen nach Geld als Gegenleistung für das Finden der Sicherheitslücken. Das ist aus meiner Sicht legitim, wenn durch die Meldung eine Webseite oder ein Internet-Server sicherer gemacht werden kann. Ob und wieviel der Betreiber zahlt, muss jeder selbst entscheiden, und das hängt ja auch von den potentiellen Auswirkungen eines Sicherheitsvorfalls bei dieser Webseite oder dem Internet-Dienst ab.

Der Artikel spricht von "Fake Clickjacking Bug Bounty Reports". Das Clickjacking ist nur möglich, wenn sensible Daten auf der Webseite eingegeben werden können. Reine "read-only" Webseiten sind nicht betroffen. Ich würde bei solchen Webseiten aber nicht von "Fake Report" sprechen, denn ob sensitive Daten auf einer Webseite eingegeben werden können, kann jemand von außen nur ganz schlecht einschätzen. Das muss der Betreiber der Webseite abschätzen, ob es ein Sicherheitsrisiko gibt.

Die E-Mail aus Pakistan, welche wir vom ABBUC bekommen haben, hatte den gleichen Text wie in dem Artikel erwähnt. Bin ich auf einen "Fake Clickjacking Bug Bounty Report" hereingefallen? Ich war nach dem Lesen des Artikels unsicher und habe noch einmal nachgeschaut:

• Zum Zeitpunkt des Reports hat der ABBUC Webserver "X-Frame-Options" ausgeliefert, aber nicht "frame-ancestors". Den CSP "frame-ancestors" kannte ich noch nicht (es ist schwierig, die Übersicht bei allen neuen Sicherheitserweiterungen in Browern zu behalten). Diese Information war schon ein Mehrwert für mich.

• Der CSP "frame-ancestors" macht Clickjacking Angriffe schwieriger (https://cheatsheetseries.owasp.org/cheatsheets/Clickjacking_Defense_Cheat_Sheet.html). Dies ist eine valide Lösung.

• Kann ein Angreifer durch den Einsatz eines Reverse-Proxy die CSP-Header aus dem Datenstrom herauslöschen und hierdurch trotzdem einen Click-Jacking Angriff auf die Webseite durchführen? Aus meiner Sicht ist das wahrscheinlich. Macht das "frame-ancestors" und "X-Frame-Options" überflüssig? Aus meiner Sicht nicht, denn beide CSP Header machen es für Angreifer schwerer, den Angriff durchzuführen. Es zeigt aber, das Browser und HTTP zu komplex sind, um sie vollständig absichern zu können.

• Wie gross war die Gefahr für die ABBUC Webseite und die ABBUC Internet-Systeme? Aus meiner Sicht eher gering -- Worst Case hätte ein schon relativ gezielter Angriff auf das Wordpress-Login bei einem der Haupt-Administratoren passieren müssen. Der Angreifer hätte damit die Wordpress-Installation übernehmen können um z.B. Schadcode in den Downloads auszuliefern. Eine größere potentielle Gefahr sehe ich bei den Passwörtern und Logins des Forums. Durch einen Click-Jacking-Angriff können Angreifer die Benutzernamen und Passwörter von ABBUC Forums-Benutzer mitlesen. Der Schaden für die ABBUC Webseite wäre nicht dramatisch (gefälschte Forums-Posts, ggf. Vandalismus), aber wenn Forums-Benutzer das gleiche (oder ähnliches) Login und Passwort auch für andere Dienste benutzten (z.B. E-Mail), dann kann der Schaden für diesen ABBUC-Forums-Benutzer schnell sehr gross werden.

Die Sicherheitsmeldung aus Pakistan hat die ABBUC Webseite ein klein wenig sicherer gemacht. Click-Jacking kann (aus meiner Sicht) derzeit nicht zu 100% verhindert werden, aber die Konfiguration von CSP "frame-ancestors" macht Clickjacking-Angriffe auf der ABBUC Webseite schwieriger (mehr Aufwand für die Angreifer).

Wir haben kein Geld für eine Bug-Bounty bezahlt. Wir haben uns mit ABBUC Fan-Artikeln und einem Magazin bedankt.

Kommen nun mehr dieser Sicherheitsmeldungen an den ABBUC? Wir werden sehen wieviele Sicherheitsforscher gerne ein ABBUC T-Shirt hätten. Wir haben noch genug T-Shirts und Magazine, ich mache mir das keine Sorgen ;)

Feedback:

ich habe gerade eine sehr schöne Überraschung entgegennehmen dürfen. Vielen Dank für die netten Worte und die vielen Goodies! Der Proviant kommt für den Morgen beginnenden Wanderurlaub gerade recht. :-)

Da wir auf die Meldung von Schwachstellen auch viele Reaktionen à la "Mir doch egal" bekommen, ist solche Wertschätzung wirklich doppelt schön! Daher nochmal vielen Dank, hat mich sehr gefreut, dass wir Ihnen helfen konnten!