- Anzeigen -


Sie sind hier: Home » Virenwarnung » Sicherheitslecks

Open Source-Software: Sicher für Unternehmen?


Schwachstelle: Forscher warnt vor schwacher SCP-Sicherheit
Obwohl die Einführung von SSH eine Verbesserung darstellt, hat SCP nicht alle Mängel der RCPs behoben. Beispielsweise warnt RCP die Benutzer nicht vor dem Überschreiben von Dateien. SCP hat das gleiche Problem

- Anzeigen -





Das Secure Copy Protocol (SCP) ist ein Protokol zur verschlüsselten Datenübertragung und soll so mehr für Sicherheit tragen. Nun hat eine neue Studie ergeben, dass mehrere Schwachstellen in verschiedenen SCP-Anwendungen gefunden wurden und zeigt, dass SCP möglicherweise nicht so sicher ist, wie man denkt. Die von Harry Sintonen, Senior Security Consultant bei F-Secure, durchgeführte Studie identifizierte Schwachstellen in den Anwendungen WinSCP, Putty PSCP und OpenSSH.

Harry Sintonen erstellte einen Proof-of-Concept für den Angriff, mit dem er Dateien im SCP-Zielverzeichnis des Clients unbemerkt schreiben/überschreiben, die Berechtigungen des Verzeichnisses ändern und die Ausgabe des Clients manipulieren kann. Ein Angreifer kann die Schwachstellen ausnutzen, um eine Hintertür oder andere Malware in ein Unternehmensnetzwerk zu installieren, vertrauliche Informationen zu stehlen oder praktisch jede andere Aktion nach der Infiltration durch zu führen.

Die Schwachstelle ist nicht mal die größte Sorge von IT-Administratoren (Man-in-the-Middle-Zugriff muss eingerichtet werden, bevor der Angriff funktioniert). Aber es bedeutet, dass der "sichere" Teil von SCP etwas weniger zuverlässig sein könnte, als es Unternehmen vielleicht erwarten würden. Dieser Bewusstseinsmangel ist das, was Schwachstellen wie diese für Hacker nützlich macht, so Sintonen.

"Sicher bedeutet nicht unangreifbar. Und SCP ist da keine Ausnahme. Benutzer müssen die Host-Identität bei der ersten Verbindung manuell überprüfen, so dass Raum für Benutzerfehler bleibt. Und Schwachstellen in SCP-Implementierungen machen es einem Angreifer leicht, Dateien im Zielverzeichnis zu überschreiben", erklärt Harry Sintonen. "Wenn also ein Angreifer zwischen SCP-Client und -Server gelangt - oder den Client dazu bringt, sich über Phishing oder DNS-Spoofing oder ähnliches mit einem bösartigen Server zu verbinden - ist es trivial, dass er bösartige Befehle ausführt, ohne dass der Client es merkt."

SCP wurde Mitte der 90er Jahre als Methode zur Übertragung von Dateien zwischen Geräten und einem Netzwerk entwickelt. Es fügt SSH zum Remote-Kopierprotokoll hinzu (auch bekannt als RCP, das Protokoll, auf dem SCP basiert). Diese zusätzliche Sicherheitsebene macht SCP zu einer sichereren Alternative zu FTP und RCP.

Obwohl die Einführung von SSH eine Verbesserung darstellt, hat SCP nicht alle Mängel der RCPs behoben. Beispielsweise warnt RCP die Benutzer nicht vor dem Überschreiben von Dateien. SCP hat das gleiche Problem.

Harry Sintonen betont, dass der Aufwand für die erfolgreiche Durchführung des Hacks hoch genug ist, um Angreifer daran zu hindern, diese Schwachstellen konsequenter und großflächiger auszunutzen und ein Welle von Angriffen zu starten. Zielgerichtete Attacken sind dagegen möglich.

"Der Angriff funktioniert nur dann, wenn das Opfer die falschen Fingerabdrücke akzeptiert. Deshalb ist es wichtig zu wissen, dass dies nicht etwas ist, was SCP-Clients automatisch machen", erklärt Harry Sintonen. "Es ist ein einfaches Unterfangen es als selbstverständlich hinzunehmen, da praktisch niemand manuell danach sucht. Daher wird es Angreifer geben, die diese Art von Taktik effektiv anwenden können."

Harry Sintonen präsentierte seine Forschungen und demonstrierte seinen Proof-of-Concept (POC) des Angriffs auf der diesjährigen Disobey-Konferenz in Helsinki. Hier ist der grundlegende POC, den er dem Publikum gezeigt hat:

https://www.youtube.com/watch?v=pdYGkuh1Stw

Harry Sintonen führte die Forschung aus professionellem Interesse heraus durch, wie Angreifer Ziele kompromittieren könnten, die auf populäre, Open-Source-Komponenten angewiesen sind. Freie und Open-Source-Software ist das Rückgrat vieler beliebter Anwendungen. Traditionell verlassen sich Entwickler bei der Validierung von Open-Source-Code aufeinander, was für populären Code effektiv sein kann.

Aber in der Praxis sieht es meist anders aus. Die Offenlegung des Heartbleed-Bugs im Jahr 2014 führte dazu, dass die EU Kommission die Free and Open Source Software Audit (FOSSA) einrichtete. Ziel des Projekts ist es, Open-Source-Software zu dokumentieren und zu sichern, die in Europa weit verbreitet ist. Und in einem kürzlich erfolgten Schritt wurde die FOSSA um Bug-Bounty-Programme für 15 Open-Source-Softwareprojekte erweitert .

Leider beinhalten die Bug-Bounty-Programme nicht SCP und viele andere Software. Aber Harry Sintonen sagt, es gibt keinen Grund zur Panik.

"Sollten sich Unternehmen für Open Source Software entscheiden, sollten sie ihrer Sorgfaltspflicht nachgehen und den Quellcode überprüfen und recherchieren, ob die jeweilige Software eine Historie kritischer Schwachstellen aufweist. Ferner sollten sie interne Prozesse einrichten, um sicherzustellen, dass sie proaktiv bei der Überwachung und dem Umgang mit der Sicherheit der Software heran gehen", sagt Harry Sintonen. "SCP scheint irgendwie durch das Raster gefallen zu sein, aber das passiert bei Open Source Software manchmal."

Neben der Sensibilisierung empfiehlt Harry Sintonen, dass Unternehmen, wenn möglich, auf SFTP umsteigen. Patches sind für Unternehmen verfügbar, die mit SCP arbeiten, einschließlich eines von Harry Sintonen entwickelten OpenSSH-Patches. (F-Secure: ra)

eingetragen: 05.02.19
Newsletterlauf: 06.03.19

F-Secure: Kontakt und Steckbrief

Der Informationsanbieter hat seinen Kontakt leider noch nicht freigeschaltet.


Meldungen: Sicherheitslecks

  • Ein Hardware-Designfehler

    Ein Bitdefender-Forscherteam hat eine Schwachstelle bei einigen modernen Intel-CPUs aufgedeckt. Diese wird in einem Sicherheitshinweis dokumentiert, der am 14. Mai 2019, 19 Uhr deutscher Zeit, veröffentlicht worden ist. Die neue Schwachstelle namens YAM ("Yet Another Meltdown") überwindet die architektonischen Sicherheitsvorkehrungen des Prozessors und ermöglicht es unprivilegierten Anwendungen im normalen Benutzermodus, auf dem betroffenen Computer verarbeitete Kernel-Modus-Speicherinformationen zu stehlen.

  • Privilegien-Erweiterung durch Dritte

    Kaspersky Lab hat eine zuvor unbekannte Schwachstelle - eine so genannte Zero-Day-Schwachstelle - in Microsoft Windows entdeckt. Eine bisher nicht identifizierte kriminelle Gruppe war dadurch in der Lage, die volle Kontrolle über ein anvisiertes Gerät zu erlangen. Die Cyberkriminellen hatten es auf den Kernel des Systems mittels einer Backdoor abgesehen, die aus einem wesentlichen Element des Windows-Betriebssystems aufgebaut war.Mittels Backdoors können Bedrohungsakteure infizierte Computer diskret für bösartige Zwecke nutzen. Eine solche Privilegien-Erweiterung durch Dritte ist in der Regel schwer vor Sicherheitslösungen zu verbergen. Eine Backdoor, die allerdings einen unbekannten Fehler, also eine Zero-Day-Schwachstelle, im System ausnutzt, kann unentdeckt bleiben. Die Exploit-Prevention-Technologie von Kaspersky Lab konnte den Versuch, die unbekannte Schwachstelle im Windows-Betriebssystem von Microsoft auszunutzen, jedoch erkennen.

  • Neue Technik findet Sicherheitslücke

    Als Forscher 2018 die Sicherheitslücken Meltdown und Spectre bei bestimmten Prozessoren entdeckten, waren vor allem Chiphersteller von High-end-Prozessoren wie Intel betroffen. Zunutze gemacht hatten sie sich hier sogenannte Seitenkanäle der Hardware, mit denen sie an Daten gelangt sind. Dass es ähnliche Lücken auch bei anderen Prozessoren gibt, haben nun Forscher aus Kaiserslautern und Stanford gemeinsam erstmals gezeigt. Diese Prozessoren spielen etwa in sicherheitsrelevanten Bereichen von eingebetteten Systemen eine Rolle, zum Beispiel beim Autonomen Fahren. Abhilfe schafft ein Verfahren, das die Forscher entwickelt haben. Es spürt die Lücken schon beim Entwickeln der Hardware auf.

  • Sicherung industrieller Steuerungssysteme

    Die Experten von Kaspersky Lab haben in der IoT-Plattform "ThingsPro Suite" sieben neue, bisher unbekannte Schwachstellen (Zero Day) entdeckt und geholfen, diese zu schließen. Die im industriellen Umfeld eingesetzte Lösung ermöglicht die Datenerfassung und Remote-Analyse industrieller Kontrollsysteme (ICS, Industrial Control Systems). Einige der identifizierten Sicherheitslücken hätten Cyberangreifern die Möglichkeit eröffnet, umfassend auf industriell genutzte IoT-Gateways zuzugreifen und für Arbeits- und Produktionsabläufe folgenschwere Befehle auszuführen. Alle identifizierten Schwachstellen sind inzwischen von Moxa, dem Entwickler der Plattform, behoben worden.

  • Open Source-Software: Sicher für Unternehmen?

    Das Secure Copy Protocol (SCP) ist ein Protokol zur verschlüsselten Datenübertragung und soll so mehr für Sicherheit tragen. Nun hat eine neue Studie ergeben, dass mehrere Schwachstellen in verschiedenen SCP-Anwendungen gefunden wurden und zeigt, dass SCP möglicherweise nicht so sicher ist, wie man denkt. Die von Harry Sintonen, Senior Security Consultant bei F-Secure, durchgeführte Studie identifizierte Schwachstellen in den Anwendungen WinSCP, Putty PSCP und OpenSSH. Harry Sintonen erstellte einen Proof-of-Concept für den Angriff, mit dem er Dateien im SCP-Zielverzeichnis des Clients unbemerkt schreiben/überschreiben, die Berechtigungen des Verzeichnisses ändern und die Ausgabe des Clients manipulieren kann. Ein Angreifer kann die Schwachstellen ausnutzen, um eine Hintertür oder andere Malware in ein Unternehmensnetzwerk zu installieren, vertrauliche Informationen zu stehlen oder praktisch jede andere Aktion nach der Infiltration durch zu führen.