Zwei schwere Internet-Sicherheitslücken sind aufgetaucht und haben Web-Administratoren in Aufruhr versetzt. Das erste betrifft TLS-Zertifikate mit extrem schwacher Verschlüsselung, die VPN und IoT-Geräte betreffen könnten. Das andere ist eine schwere Schwachstelle in der Programmiersprache PHP, die CMS-Systeme wie WordPress und Drupal betrifft. Beide Probleme könnten zu groß angelegten Angriffen führen und erhebliche Bereinigungsarbeiten erfordern, warnten Sicherheitsexperten.
Die PHP Foundation hat Sicherheits-Patches für zwei kritische Schwachstellen veröffentlicht, die mit 9,2 von 10 auf der Schwere-Skala bewertet wurden. Ein Bericht zeigt ein Video eines Tools namens PHP2Shell, das Code auf Web-Servern ausführt, einschließlich der neuesten Versionen von WordPress, MediaWiki, Symphony, Drupal und anderen PHP-basierten Websites. Das Sicherheitsunternehmen Towr behauptet, dass die Schwachstelle jede Version von PHP 5 (2004) angeht, was Angreifern möglicherweise erlaubt, ihren eigenen Code auf einem Server auszuführen.
Ein in Indien ansässiges Unternehmen namens e Mudhra hat gemeldet, dass acht seiner intermediären CA-Zertifikate kompromittiert wurden. Die privaten Schlüssel sind schwach und reichen von drei bis acht Bit statt der üblichen 384 Bit, was Angreifern möglicherweise erlaubt, Anmeldeinformationen für Websites und Apps zu fälschen. Mozilla, Google und Apple haben die kompromittierten Zertifikate blockiert, aber ein macOS-Dienstprogramm könnte weiterhin Vertrauen in sie haben. e Mudhra hat die Zertifikate widerrufen und einen Skriptfehler für die Erstellung beschuldigt.
Das größte Risiko besteht derzeit für VPNs, insbesondere dort, wo Regierungen versuchen, den Verkehr abzufangen, und IoT-Geräte. Filippo Valsorda hat gewarnt, dass dies eine umfassende Bereinigungsarbeit sein wird, die größer ist als Heartbleed. Web-Administratoren arbeiten mit Hochdruck an den Problemen, wobei einige PHP-basierte Websites kurzfristig offline sein könnten.
Quelle: Engadget · Zusammengefasst von HeadlinesBriefing