Ex-Sicherheitslücke
1. September 2008 | Kategorie: RootserverDiesen Beitrag veröffentliche ich eigentlich 4 Jahre zu spät. Allerdings möchte ich das gerne erzählen, denn immerhin bin ich ja ein ‘Bug-Finder’. Nicht nur bei Password Safe. 
Es geht um Keyweb und ihre Keymachine-Server bzw. Keyhelp die Keyweb-Server-Verwaltungssoftware. Als ich damals die Zugangsdaten zu meinem ersten eigenen Server bekam, ahnte ich noch nicht, was mich erwartet in Bezug auf die Administration eines GNU/Linux-Rootserver. Keyweb versprach mir jedoch, notfalls auf Windows umsteigen zu können, sofern ich mit Linux Redhat nicht zurecht kommen würde. Ich begab mich also in eine völlig neue Welt…
Bis 2003 war ich Webhosting-Kunde u.a. bei Puretec bzw. 1und1 (1und1 heisst erst seit etwa 2002 so – davor Puretec). Jedenfalls hatte ich die Nase voll von dem Profil-Paket mit 1.000 MB. Fürs gleiche Geld bekam ich bei Keyweb nen kompletten Server mit ner ganzen Festplatte (damals 40 GB). Nun, jedenfalls war der Providerwechsel mit etlichen Domains auch kein grösseres Problem.
Irgendwann habe ich mir dann mal die Festplatten-Inhalte genauer angeschaut. Dabei fiel mir auf, das Keyhelp, die Keyweb-Serververwaltungssoftware (zu finden unter /home/admin/account/), einen Ordner enthält der den Namen ‘backup’ trägt. Irgendwie dachte ich sofort. Hey, moment mal. Der ist ja gar nicht geschützt. Im Ordner lagen Backups der Keyhelp-MySQL-Datenbank (Dateiname z.B. backup-Fri Aug 22 04:02:16 CEST 2008.gz), in der sämtliche Domains, Zugangsdaten und E-mail Adressen abgespeichert waren, die auf dem entsprechenden Server “zu Hause waren”. Ich hab dann gleich mal versucht, von anderen mir bekannten Keyweb-Servern diese Backups runterzuladen, was auch funktioniert hat. Ja sogar über die diversen Suchmaschinen waren etliche Server zu finden. Ich habe natürlich gleich Keyweb informiert. Hier das orginale Ticket vom 23.09.2004 dazu:
upserle. das finde ich heftig…….. wenn ich so drüber nachdenke. gerade rausgefunden.
und zwar:
jede keymachine die über keyhelp verfügt, hat auch einen Backup-Ordner! und da kann jeder brav die Backups runterladen und sehen, welche domains so gehostet sind, und was dazu eingestellt ist.. es sei denn das verzeichnis ist geschützt..
/home/admin/account/backup/
da muss ne lösung her!
und das geht bei jeder Keymachine.
150 finde ich über google.
Es kam auch prompt eine Antwort. Hier die Auszüge aus den Antwort-Tickets von damals.
dies ist in der Tat etwas derb. Wird morgen früh behoben sein (aber darauf muß man erst mal kommen).
Fehler findet man nur durch Zufall oder durch systematisches Suchen. Ich hätte das mit dem Backup wahrscheinlich aus Betriebsblindheit nicht gesehenVielen Dank also.
ab dem nächsten Update haben die Verzeichnisse das Recht 0750 und zusatzlich noch eine weitere .htaccess. Doppelt hält besser
Genau. So hätte das direkt aussehen müssen. Denn es kann ja nicht sein, das man die Backup-Dateien runterladen kann. Was da alles an Daten drin stand. Unfassbar. Ich bin noch heute geschockt, wenn ich da drüber nachdenke. Damals hatte ich noch keinen eigenen Blog, deswegen hole ich das heute nach. Warum gerade heute?
… 4 Jahre sind seitdem vergangen …
Nun wurde mein Server vor ein paar Wochen neuinstalliert. Was musste ich feststellen? Das Backup-Verzeichnis von Keyhelp war bei mir schon wieder nicht geschützt. Zwar waren am ersten Tag noch keine Keyhelp-MySQL-Backups vorhanden, trotzdem habe ich Keyweb nochmal informiert. Denn wenn sie den Ordner schon schützen, dann bitte auch von Anfang an.
Habe natürlich auch gleiche eine Antwort von Keyweb bekommen. Der Ordner wird beim ersten ausführen eines Backups direkt mit gesichert. Und zwar gleich doppelt. Somit sind die Keyhelp-MySQL-Datenbank-Backups also geschützt. Und zwar von Anfang an. Auch wenn nach einer Neuinstallation der Ordnerschutz noch nicht direkt gesetzt wurde. Beim ersten Durchlauf wird das ja nachgeholt. Der entsprechende Cronjob läuft auf meinem Server um kurz nach Mitternacht.
Damals habe ich glaube ich 1GB Ram Extra bekommen, wenn ich recht entsinne. Danke dafür. Und danke auch für die vergangenen Jahre. Bin nun schon fast auf den Tag genau 5 Jahre in Erfurt zu Hause.
--------------------------------------------------------------------------------------------
Ähnliche Beiträge:
1 Trackback(s)