Der Autobauer Mercedes-Benz hat offenbar einen Server mit Quellcode für Smart-Car-Komponenten für Lastwagen nicht ausreichend abgesichert. Der Schweizer Softwareingenieur Till Kottmann war nach eigenen Angaben in der Lage, ein eigenes Konto für ein Git-Web-Portal der Mercedes-Benz-Mutter Daimler anzulegen und auf dort hinterlegten Code zuzugreifen.
Den offenen GitLab-Server fand Kottman mithilfe einer Google-Dorks-Suche. „Ich suche oft nach interessanten GitLab-Instanzen, meist mit Google Dorks, wenn mir langweilig ist, und ich bin immer wieder überrascht, wie einfach es ist, in die Sicherheitseinstellungen zu gelangen“, sagte der Forscher im Gespräch mit ZDNet.com. „Das war ehrlich ein sehr glücklicher Fund, während ich einfach ein paar Markennamen durchgegangen bin, in der Hoffnung vielleicht einen kleinen Lieferanten oder sowas zu finden.“
Daimler habe es versäumt, eine Whitelist für die Registrierung neuer Konten anzulegen. Das habe es ihm erlaubt, auch ohne eine Firmen-E-Mail-Adresse ein Konto beim offiziellen GitLab-Server von Daimler anzulegen. Die Daten aus den mehr als 580 Repositories veröffentlichte Kottmann unter anderem auf Mega und im Internet Archive. Darunter waren neben Quellcode für OLU-Komponenten auch Images für Raspberry Pi, Server Images, interne Dokumente für die Verwaltung von OLUs aus der Ferne, Beispielcode und interne Dokumentationen.
Darüber hinaus fand der Sicherheitsanbieter Under The Breach bei einer Analyse der Daten Passwörter und API-Tokens für interne Systeme von Daimler. Beides könnte in den falschen Händen die Planung von Angriffen auf das interne Netzwerk von Daimler begünstigen.
Daimler wurde zudem von ZDNet.com und Under The Breach über das Datenleck informiert. Inzwischen wurde der GitLab-Server abgeschaltet. Kottmann kündigte indes an, die von ihm veröffentlichten Kopien erst zu löschen, nachdem er von Daimler zu aufgefordert wurde. Auch stellt sich die Frage, ob Kottmann mit seiner Aktion gegen Gesetze verstößt, da er offenbar nicht versucht hat, Daimler zu kontaktieren, bevor er die Daten veröffentlichte. Allerdings war der GitLab-Server zumindest laut Kottmann so konfiguriert, dass wirklich jeder ein Konto anlegen konnte – als sei es ein offenes System. Laut einer Untersuchung von ZDNet.com fanden sich in dem Code auch keine Warnungen, dass es sich um geistiges Eigentum von Daimler oder Mercedes-Benz handelt.
In diesem Webinar stellen wir Ihnen SkySQL vor, erläutern die Architektur und gehen auf die Unterschiede zu anderen Systemen wie Amazon RDS ein. Darüber hinaus erhalten Sie einen Einblick in die Produkt-Roadmap, eine Live-Demo und erfahren, wie Sie SkySQL innerhalb von nur wenigen Minuten in Betrieb nehmen können.
Salesforce forciert den Ausbau seiner Industry Clouds. Mit ihrem Prozesswissen könnten deutsche IT-Dienstleister davon profitieren.
Bisher unbekannter Bedrohungsakteur versucht über gefälschte IP Scanner Software-Domänen Zugriff auf IT-Umgebungen zu erlangen.
Der Bericht zeigt bereits nutzbare Angriffsanwendungen und bewertet die Risiken, die davon ausgehen.
Deutsche sehen Finanzwesen und IT im Zentrum der KI-Transformation. Justiz und Militär hingegen werden deutlich…
Cubbit ist das weltweit erste Unternehmen, das Cloud-Objektspeicher anbietet. Es wurde 2016 gegründet und bedient…
Unbefugte können Schadcode einschleusen und ausführen. Auslöser ist eine fehlerhafte Implementierung einer Android-Funktion.
