Sicherheitslücke im David Administrator

Der David Administrator bietet eine Sicherheitslücke, bei der Site-ID und Passwort ungesichert sind. Das Problem habe ich Tobit schon vor 2 Wochen gemeldet, im ARC-Intercom wurde der Vorgang schnell mit dem Vermerk geschlossen, man habe den Fehler an die zuständige Abteilung weitergeleitet.

Leider gibt es noch kein Hotfix, so daß man nur empfehlen kann den Einsatz des Administrators zu vermeiden. Schade, daß Tobit nicht reagiert.

Hi!

Es wäre schon interessant, was du damit meinst... (Kurze Beschreibung)

Der Einsatz des Administrators ist prinzipiell bei einem laufenden David nicht zu vermeiden.

Grundsätzlich ist der Einsatz des DvAdmin nur dem System-Admin vorzubehalten, da hier eh einige Einstellungen durchaus kritisch und Sicherheitskritisch sind.

Gruß

Björn

Der Admin hinterlegt die Zugangsdaten wahrscheinlich irgendwo in einer Datei, oder man kann sie per Copy&Paste rausholen, oder? Unverschlüsselt wird das imho sowies übertragen, sodass man das mitlesen könnte.
Naja aber der Admin wird schon soviel Verantwortung tragen können.

Ich hatte zunächst etwas gezögert, weil natürlich potentielle Angreifer dann auch wissen, wo sie ansetzen müssen. Es ist aber vielleicht besser, es genauer offenzulegen.

Klickt man im Administrator auf David(SERVERNAME), so sendet der Administrator eine unverschlüsselte HTTP-Anforderung an dvadmin.tobit.com, die als Parameter sowohl die Site-ID als auch das Passwort im Klartext enthält. Jeder kann das nachvollziehen, indem er im Kontextmenü die Eigenschaften der Seite anzeigen läßt. Wenn Ihr den Parameter (p=...) vergleicht, könnt Ihr darin Eure Site-ID und das Site-Passwort finden. Hiermit sausen diese Daten unverschlüsselt durch das Internet und können an verschiedenen Stellen abgefangen werden.

Ob an anderen Stellen noch HTTP-Requests abgesetzt werden, die diese Daten enthalten, kann ich nicht sagen. Vielleicht findet jemand noch andere Stellen.

Den Fehler habe ich Tobit vor mehreren Wochen im ARC-Intercom mitgeteilt, jedoch existiert bis heute kein Hotfix. Zur Zeit bleibt nur, diese Informationsseite zu vermeiden.

Grüße
Thomas

Mir war relativ klar, dass das unverschlüsselt übertragen wird, da dem Script auf dem Tobit Server einfach Benutzername und Passwort übergeben werden.

Für so dramatisch halte ich es nicht, denn wer interessiert sich schon für David und bei FTP hat man genau dasselbe Problem.