{"id":235979,"date":"2020-09-25T14:01:00","date_gmt":"2020-09-25T12:01:00","guid":{"rendered":"https:\/\/www.borncity.com\/blog\/?p=235979"},"modified":"2020-09-25T16:08:06","modified_gmt":"2020-09-25T14:08:06","slug":"datenleck-durch-sicherheitslcke-bei-vodafone-webseiten","status":"publish","type":"post","link":"https:\/\/borncity.com\/blog\/2020\/09\/25\/datenleck-durch-sicherheitslcke-bei-vodafone-webseiten\/","title":{"rendered":"Datenleck durch Sicherheitsl&uuml;cke bei Vodafone-Webseiten"},"content":{"rendered":"<p><img loading=\"lazy\" decoding=\"async\" style=\"float: left; margin: 0px 10px 0px 0px; display: inline;\" src=\"https:\/\/borncity.com\/blog\/wp-content\/uploads\/2015\/01\/Schutz.jpg\" width=\"40\" height=\"47\" align=\"left\" \/>Beim Online-Portal des Anbieters Vodafon erm\u00f6glichte eine Schwachstelle den Zugriff auf Kundendaten oder die Manipulation von Rechnungen und vieles mehr.<\/p>\n<p><!--more--><\/p>\n<p><img loading=\"lazy\" decoding=\"async\" src=\"https:\/\/vg07.met.vgwort.de\/na\/98d5830642f14632a5b527c41a743154\" alt=\"\" width=\"1\" height=\"1\" \/>Die Redaktion von heise wurde von dem Nutzer Daniel Werner (Quality Assurance Engineer) auf die Schwachstelle <a href=\"https:\/\/www.heise.de\/news\/c-t-deckt-auf-Sicherheitsluecke-bei-Vodafone-4907249.html\" target=\"_blank\" rel=\"noopener noreferrer\">aufmerksam<\/a> gemacht. Der Nutzer entdeckte Anfang September 2020 eine M\u00f6glichkeit, beliebigen JavaScript-Code in die Vodafone-Website zu injizieren. Die Redaktion von heise hat die Angaben des Nutzers dann \u00fcberpr\u00fcft und konnte das Problem auf vodafone.de best\u00e4tigen.<\/p>\n<h2>JavaScript-Injection in Suchanfragen<\/h2>\n<p>Die Schwachstelle bestand darin, dass der Suche in der Webseite ein JavaScript-Befehl untergeschoben werden konnte.\u00a0 Der JavaScript-Code wird dann im Kontext der Webseite ausgef\u00fchrt. Gelingt es einem Angreifer einen Vodafone-Kunden \u00fcber einen manipulierten Link auf die Vodafone-Seite zu locken, bekommt er Zugriff auf alle Ressourcen, die dem Kunden auch zur Verf\u00fcgung stehen. Heise schreibt:<\/p>\n<blockquote><p>Im Fall von Vodafone w\u00e4re es h\u00f6chstwahrscheinlich m\u00f6glich gewesen, pers\u00f6nliche Daten sowie Rechnungen einzusehen und sogar eine Rufumleitung einzurichten.<\/p><\/blockquote>\n<p>Rufumleitungen zu teuren Premiumrufnummern oder ins Ausland f\u00fchren beim Opfer dann zu hohen Telefonrechnungen. Der Betrug f\u00e4llt erst bei der n\u00e4chsten Telefonrechnung auf. Wenn ich so an meine Online-Portale von Providern denke, werden dort auch die Mail-Konten des E-Mail-Servers verwaltet, so dass dort auch Mail-Umleitungen eingerichtet werden k\u00f6nnen. Da ergebt sich einige Missbrauchsm\u00f6glichkeiten.<\/p>\n<h2>Vodafone reagiert nicht<\/h2>\n<p>Der Versuch von Daniel Werner, diese Schwachstelle an Vodafone zu melden, scheiterte aber &#8211; der Provider reagierte schlicht nicht (erinnert mich an den Beitrag <a href=\"https:\/\/borncity.com\/blog\/2020\/08\/16\/vorsicht-kunde-internetstrung-bei-vodafone-unitymedia\/\">'Kundendienst': Internetst\u00f6rung bei Vodafone\/Unitymedia<\/a>). Erst als heise sich einschaltete, wurde die Schwachstelle, die dem Provider seit Anfang August 2020 Zeit bekannt war, best\u00e4tigt. Der Kontakt von heise fand am 31. August 2020 statt, da war die Schwachstelle noch nicht geschlossen.<\/p>\n<p>Inzwischen hat Vodafone die Schwachstelle geschlossen und schreibt gegen\u00fcber heise 'Hinweise \u00fcber Missbrauchsf\u00e4lle oder Auff\u00e4lligkeiten aus dieser geschlossenen potenziellen Schwachstelle' l\u00e4gen nicht vor. Weitere Details lassen sich <a href=\"https:\/\/www.heise.de\/news\/c-t-deckt-auf-Sicherheitsluecke-bei-Vodafone-4907249.html\" target=\"_blank\" rel=\"noopener noreferrer\">hier nachlesen<\/a>.<\/p>\n<blockquote><p>Erg\u00e4nzung: Der <a href=\"https:\/\/www.heise.de\/forum\/heise-online\/Kommentare\/c-t-deckt-auf-Sicherheitsluecke-bei-Vodafone-mit-grossem-Schadenspotenzial\/Oeffentlich-zugaengliche-Vodafone-Server-Access-Logs\/thread-6504214\/\" target=\"_blank\" rel=\"noopener noreferrer\">Kommentar hier<\/a> weist auf \u00f6ffentlich zug\u00e4ngliche Access Logfiles (beinhalteten IP Adressen von Vodafone und Unitymedia-Kunden) von mehreren Vodafone Servern hin. Es scheint da aber keine Details zu geben und die logs sind jetzt nicht mehr \u00f6ffentlich abrufbar.<\/p><\/blockquote>\n","protected":false},"excerpt":{"rendered":"<p>Beim Online-Portal des Anbieters Vodafon erm\u00f6glichte eine Schwachstelle den Zugriff auf Kundendaten oder die Manipulation von Rechnungen und vieles mehr.<\/p>\n","protected":false},"author":2,"featured_media":0,"comment_status":"open","ping_status":"closed","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[426],"tags":[5535,4328],"class_list":["post-235979","post","type-post","status-publish","format-standard","hentry","category-sicherheit","tag-datenleck","tag-sicherheit"],"_links":{"self":[{"href":"https:\/\/borncity.com\/blog\/wp-json\/wp\/v2\/posts\/235979","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/borncity.com\/blog\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/borncity.com\/blog\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/borncity.com\/blog\/wp-json\/wp\/v2\/users\/2"}],"replies":[{"embeddable":true,"href":"https:\/\/borncity.com\/blog\/wp-json\/wp\/v2\/comments?post=235979"}],"version-history":[{"count":0,"href":"https:\/\/borncity.com\/blog\/wp-json\/wp\/v2\/posts\/235979\/revisions"}],"wp:attachment":[{"href":"https:\/\/borncity.com\/blog\/wp-json\/wp\/v2\/media?parent=235979"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/borncity.com\/blog\/wp-json\/wp\/v2\/categories?post=235979"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/borncity.com\/blog\/wp-json\/wp\/v2\/tags?post=235979"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}