Windmill-Schwachstelle ermöglicht Angreifern, Serverdateien ohne Anmeldung zu stehlen
Ein schwerwiegender Fehler in der Windmill-Software ermöglicht es Außenstehenden, beliebige Serverdateien zu lesen, ohne ihre Identität nachzuweisen, was Websitedaten und Zugangsdaten gefährdet.
Sicherheitsforscher und Nachrichtenberichte haben auf einen schwerwiegenden Fehler in Windmill aufmerksam gemacht, einer Softwarekomponente, die auf Servern läuft. Das Problem ermöglicht es Angreifern, beliebige Dateien auf einem verwundbaren Server zu lesen, ohne zuvor ihre Identität nachzuweisen, ein Prozess, der normalerweise als Authentifizierung bezeichnet wird. In technischer Hinsicht wird dies als Schwachstelle für beliebiges Dateilesen ohne Authentifizierung bezeichnet. Für einen Websitebesitzer oder ein IT-Team bedeutet dies, dass ein Außenstehender stillschweigend private Dateien von der Maschine ziehen kann, die Ihre Website oder Anwendung hostet.
Auf einem typischen Webserver umfassen Dateien Konfigurationsdateien, Datenbankzugangsdaten, Quellcode, Backup-Archive und manchmal personenbezogene Daten von Kunden. Wenn keine Authentifizierung vorhanden ist, ist die einzige Barriere zwischen einem Angreifer und diesen Dateien, ob der Angreifer den Server über das Internet erreichen kann. Diese Barriere ist normalerweise sehr niedrig, da Webserver dafür ausgelegt sind, erreichbar zu sein. Ein Angreifer kann eine speziell gestaltete Anfrage an die Windmill-Komponente senden und den Inhalt einer Datei zurückerhalten, die niemals offengelegt werden sollte.
Der Begriff 'beliebiges Dateilesen' bedeutet, dass der Angreifer nicht auf einige vorhersehbare Dateien beschränkt ist; er kann fast jeden Dateipfad auf dem Server wählen. Dies vergrößert das Risiko, weil eine Schwachstelle viele verschiedene Geheimnisse auf einmal offenlegen kann. Diese Geheimnisse können dann verwendet werden, um die Website zu übernehmen, Kundeninformationen zu stehlen oder tiefer in die Hosting-Umgebung einzudringen.
Diese Art von Schwachstelle ist besonders gefährlich für Shared-Hosting-Umgebungen und verwaltete Dienstanbieter, bei denen viele Kundenwebsites auf demselben Server liegen können. Eine verwundbare Windmill-Installation könnte zu einer Tür zu Dateien anderer Mandanten werden, wenn der Server nicht ordnungsgemäß isoliert ist. Hosting-Anbieter und Websitebesitzer sollten diese Nachricht daher als Anlass nehmen, die von ihnen betriebene Software zu inventarisieren, Windmill-Komponenten zu identifizieren und zu prüfen, ob ein Update oder eine Konfigurationsänderung verfügbar ist.
Fehlende Authentifizierung in einer dateiliefernden Komponente ist eine häufige Art von Konfigurationsfehler. Softwareentwickler nehmen manchmal an, dass eine Komponente nur von vertrauenswürdigen internen Systemen erreicht wird, aber wenn sie auf einem öffentlich zugänglichen Server bereitgestellt wird, bricht diese Annahme. Angreifer scannen aktiv das Internet nach Servern, die auf bekannte Ports oder Pfade reagieren, die mit beliebter Software verbunden sind. Sobald eine verwundbare Windmill-Instanz gefunden ist, kann der Angriff in Sekunden ausgeführt werden und hinterlässt kaum Spuren, da das Lesen einer Datei sie nicht verändert.
Über diese spezifische Schwachstelle hinaus ist es eine Erinnerung daran, dass jede zusätzliche Software, die auf einem Website-Server läuft, die Angriffsfläche vergrößert. Jedes Plugin, Modul oder Add-on muss auf dem neuesten Stand gehalten und so konfiguriert werden, dass standardmäßig eine Authentifizierung erforderlich ist. Regelmäßige Sicherheitsaudits und Penetrationstests können fehlende Authentifizierung erkennen, bevor Angreifer es tun.
Für Leser, die ihre eigenen Server verwalten, besteht der unmittelbare Schritt darin, herauszufinden, ob Windmill installiert ist, und die Sicherheitshinweise des Anbieters zu befolgen. In der Zwischenzeit sollten Sie den Netzwerkzugriff auf den Server einschränken, Dateizugriffsprotokolle auf ungewöhnliche Leseanfragen überwachen und sicherstellen, dass sensible Dateien nach Möglichkeit außerhalb des Web-Roots gespeichert werden. Für Teams, denen die Zeit fehlt, jede Serverkomponente zu verfolgen und zu patchen, bietet AEU-I sicherheitsorientierte IT- und Beratungsdienste an, die dazu beitragen können, solche Software aktuell und abgesichert zu halten.
So schützen Sie sich
- Wenn Sie eine Website oder einen Server betreiben, fragen Sie Ihre IT-Abteilung oder Ihren Hosting-Anbieter, ob eine Software namens Windmill installiert ist, und falls ja, wenden Sie sofort das neueste Sicherheitsupdate an.
- Beschränken Sie den Zugriff auf das Kontrollpanel und die Dateibereiche Ihres Servers, sodass nur Personen Zugriff haben, die ihn benötigen, und verlangen Sie einen zweiten Anmeldeschritt wie einen Code von Ihrem Telefon.
- Überprüfen Sie regelmäßig die Dateiliste auf Ihrem Server auf Dateien, die für Besucher nicht lesbar sein sollten, und verschieben Sie sensible Dateien außerhalb des öffentlichen Webordners.
- Aktivieren Sie die Protokollierung des Dateizugriffs und prüfen Sie diese auf ungewöhnliche Anfragen, die nach Dateien wie Passwörtern oder Konfigurationsdateien fragen.
- Erstellen Sie ein frisches Backup Ihrer Website- und Serverdateien, damit Sie sich schnell erholen können, falls ein Angreifer etwas ändert oder löscht.