{"id":80245,"date":"2020-05-04T19:42:04","date_gmt":"2020-05-04T17:42:04","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/vzlom-infrastruktury-lineageos-cherez-uyazvimost-v-saltstack"},"modified":"2020-05-04T19:42:04","modified_gmt":"2020-05-04T17:42:04","slug":"vzlom-infrastruktury-lineageos-cherez-uyazvimost-v-saltstack","status":"publish","type":"post","link":"https:\/\/prohoster.info\/de\/blog\/novosti-interneta\/vzlom-infrastruktury-lineageos-cherez-uyazvimost-v-saltstack","title":{"rendered":"Hacking der LineageOS-Infrastruktur durch eine Schwachstelle in SaltStack","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

Entwickler der mobilen Plattform LineageOS<\/a><\/noindex>, die CyanogenMod ersetzt hat, haben gewarnt<\/a><\/noindex> \u00fcber die Entdeckung von Hacks in der Infrastruktur des Projekts. Es wird berichtet, dass der Angreifer am 3. Mai um 6 Uhr morgens (MSK) Zugriff auf den Hauptserver des Systems zur zentralisierten Konfigurationsverwaltung SaltStack<\/a><\/noindex> erlangte, indem er eine ungepatchte Schwachstelle ausnutzte. Der Vorfall wird derzeit untersucht, Details sind noch nicht verf\u00fcgbar. <\/p>\n

Es wird berichtet<\/a><\/noindex> Es scheint, dass der Angriff nicht die Schl\u00fcssel f\u00fcr die Erstellung digitaler Signaturen, das Build-System und die Quelltexte der Plattform betroffen hat \u2014 Schl\u00fcssel wurden<\/a><\/noindex> auf Hosts gespeichert, die vollst\u00e4ndig von der Hauptinfrastruktur getrennt sind, die \u00fcber SaltStack verwaltet wird, und die Builds wurden aus technischen Gr\u00fcnden am 30. April eingestellt. Laut den Informationen auf der Seite status.lineageos.org<\/a><\/noindex> haben die Entwickler bereits den Server mit dem Code-Review-System Gerrit, die Website und das Wiki wiederhergestellt. Die Server f\u00fcr Builds (builds.lineageos.org), das Datei-Download-Portal (download.lineageos.org), die Mail-Server und das System zur Koordination der Mirrors bleiben jedoch abgeschaltet. <\/p>\n

Der Angriff war m\u00f6glich, weil der Netzwerkport (4506) f\u00fcr den Zugriff auf SaltStack nicht gesperrt war.<\/a><\/noindex> wurde durch die Firewall f\u00fcr externe Anfragen blockiert \u2014 der Angreifer musste nur auf das Auftreten einer kritischen Sicherheitsl\u00fccke in SaltStack warten und diese ausnutzen, bevor die Administratoren das Update mit dem Patch installieren. Allen Benutzern von SaltStack wird dringend empfohlen, ihre Systeme sofort zu aktualisieren und auf Anzeichen einer Kompromittierung zu \u00fcberpr\u00fcfen.<\/p>\n

Anscheinend beschr\u00e4nkten sich die Angriffe \u00fcber SaltStack nicht nur auf den Hack von LineageOS und nahmen massenhafte Ausma\u00dfe an \u2014 im Laufe des Tages versuchten verschiedene Benutzer, die SaltStack nicht rechtzeitig aktualisiert hatten, stellt fest<\/a><\/noindex> mit der Entdeckung von Kompromittierungen ihrer Infrastrukturen konfrontiert, dabei wurde Code zum Mining oder Backdoors auf den Servern platziert. Darunter wird berichtet,<\/a><\/noindex> auch ein \u00e4hnlicher Hack der Infrastruktur des Content-Management-Systems Ghost<\/a><\/noindex>, der die Ghost(Pro)-Webseiten und die Abrechnung betraf (es wird behauptet, dass die Kreditkartennummern nicht betroffen waren, aber die Hashes der Benutzerdaten von Ghost k\u00f6nnten in die H\u00e4nde der Angreifer gelangt sein).<\/p>\n

Am 29. April wurden Updates f\u00fcr die SaltStack-Plattform<\/a><\/noindex> ver\u00f6ffentlicht, die 3000.2<\/a><\/noindex> und 2019.2.4<\/a><\/noindex>behebten zwei Sicherheitsanf\u00e4lligkeiten<\/a><\/noindex> (Informationen zu den Schwachstellen wurden am 30. April ver\u00f6ffentlicht), die als \u00e4u\u00dferst kritisch eingestuft wurden, da sie ohne Authentifizierung erm\u00f6glichen<\/a><\/noindex> Remote code execution on both the controlling host (salt-master) and all managed servers can occur.<\/p>\n