Hallo Wulf,
vielen Dank für Deinen Anruf heute und die wertvollen Hinweise. Dein Mühe diese Lücke aufzudecken und auch gleich die notwendigen Schritte zum Schließen mitzuteilen bestätigt uns darin, dass die beste Sicherheit durch Öffentlichkeit und nicht durch möglichst geschlossene Systeme gegeben ist. Nur die Menge der User einer guten und großen Community ist in der Lage, auch versteckte Schwachstellen aufzudecken und so zu einer stetig wachsenden Sicherheit beizutragen.
Natürlich werden wir sehr zeitnah ein Update veröffentlichen, in welchem diese Lücke geschlossen wird.
Allen anderen Lesern, denen die technischen Details zu komplex sind, ob sie zu beurteilen, möchte ich hier gerne mit einfachen Worten erläutern, wer von der Lücke betroffen sein kann und wer nicht:
1)
Betroffen können Kunden sein, die den Webserver des Systems (also unseren Webstatus und PiCtory) über das internet bereitstellen. Dafür muss der RevPi an einem Router angeschlossen sein, der den Zugang von außen auf das System freigibt und entweder eine feste externe IP dafür bereitstellt (eher unwahrscheinlich) oder über einen Dyn-DNS Service die aktuelle IP des Systems mit einem Domain-Namen verknüpft. Hacker können dann statt einfach mit einem Browser auf das System zu schauen mit einem selbstgeschriebenen Code Daten an den Server senden, die einen beliebigen Code auf dem Server ausführen.
Außerdem beschreibt Wulf einen Algorithmus, mit dem aus dem Servernamen des RevPi das Defaultpasswort berechnet werden kann. Wenn Kunden daher dieses Defaultpasswort nicht abändern, dann kann ein Hacker, der den Servernamen kennt, daraus das Passwort berechnen und somit einen root Zugriff freischalten.
2)
Nicht betroffen sind alle Kunden, die sich an unsere Sicherheitsempfehlungen gehalten haben:
- Kein direkter Zugriff aus dem Internet auf das System freischalten (Router sperrt Zugriffe aus dem Internet auf den Server). Statt dessen Verwendung unseres TeamViewer RevPi, der die Webserver Ausgaben ausschließlich über eine gesicherte Verbindung auf eine TeamViewer Applikation zulässt. Einschleusen von Schadcode ist dabei nur möglich, wenn die TeamViewer Applikation gehackt würde, was unseres Wissens nach noch nicht passiert ist.
- Sofortiger Austausch des Default-Passwortes gegen ein sicheres persönliches Passwort direkt nach dem ersten Login.
- Nutzung eines eigenen Webservers ohne Bereitstellung der RevPi Webseiten mit Status und PiCtory.
Zugriffe im LAN ermöglichen natürlich auch so einen Angriff, aber das ist nochmal eine ganz andere Angelegenheit. Wer Zugriff über LAN auf das System hat, der kann rein prinzipiell auch SSH nutzen (falls dies freigeschaltet ist) und muss nicht über den Webserver gehen, um eine Attacke zu starten. Generell sollten im LAN dann eh die Sicherheitskonzepte des Kunden greifen, der hier ggf. auch über den Router oder einen administrierbaren Switch sicher stellen kann, dass Zugriffe auf die Devices nur von bestimmten Rechnern aus geschehen können.
Wir gehen daher davon aus, dass diese Bedrohung eher nur sehr wenige Kunden betreffen wird und empfehlen nochmals dringend allen Kunden, die üblichen Sicherheitsmaßnahmen zu ergreifen, wenn sie Zugänge über das Internet ermöglichen. Die Sicherheit unseres Webservers ist definitiv nicht auf den freien Zugang aus dem Internet angelegt, sondern für die Verwendung zur Konfiguration im LAN gedacht. Der Zugang aus dem Internet sollte grundsätzlich geschützt (z.B. über den TeamViewer RevPi) erfolgen.
Wir werden in "Neuigkeiten und Ankündigungen" auf die Bereitstellung eines Updates hinweisen, sobald dieses bereit steht.
