Identity Leak 2

Oha, hier ist ja was los.

Da kann ich ja von Glück (naja mehr oder weniger) sprechen, das ich nicht Carsten bin.

Mir war ehrlich gesagt zu Beginn nicht klar, das ich diese riesige Sicherheitslücke aufgedeckt haben könnte - und das auch noch mehr oder weniger nebenbei bzw. durch Zufall.

(Siehe anderer, alter Thread im AK zu Thema An-/Abmelde-Fehler)

Das es in diese Richtung gehen könnte, dämmerte mir nach der Abschaltung dann aber nach und nach.

Einen Hinweis bzw. großflächige Informations-Offensive zu einem Hack zu geben ist aber durchaus problematisch. Das wäre wie große Hinweisschilder aufzustellen, wo und wie man in ein Haus einbrechen kann. Für alle die sich auf legalen Wegen bewegen, hilfreich um ihr Passwort zu ändern oder Daten zu retten. Für andere, die es mit dem Gesetz nicht so ernst nehmen, aber ein gefundenes Fressen.

Dafür gibt es jetzt eine mehr oder weniger zeitgemäße Forensoftware.

Leider funktionieren dafür alle Links zu Themen, die man über Google o.ä. sucht, nicht mehr. Die interne Themensuche ist leider weit weniger mächtig.

Ich frage mich, ob der Hack folgenden Hintergrund hatte:

https://de.tenable.com/blog/cv…ed-security-vulnerability

Letztlich können nur die Administratoren wissen, welche Patches/Updates sie eingespielt hatten und welche nicht.

Zitat von geos

Leider funktionieren dafür alle Links zu Themen, die man über Google o.ä. sucht, nicht mehr. Die interne Themensuche ist leider weit weniger mächtig.

Das ist richtig, da die Hersteller der Software unterschiedliche Arten der Adressen zu einem Thema, etc. nutzen.

Hierfür müssen noch Befehle eingestellt werden, die direkt von alten Adressen auf die jetzt Aktuellen weiterleiten.

Dann wird Google das in den kommenden Wochen entsprechend ändern.

Zitat von geos

Ich frage mich, ob der Hack folgenden Hintergrund hatte:

https://de.tenable.com/blog/cv…ed-security-vulnerability

Letztlich können nur die Administratoren wissen, welche Patches/Updates sie eingespielt hatten und welche nicht.

Am 11. August 2020 war die eingesetzte vBulletin Version

"simpleversion": "v=554",

Also Version 5.5.4

Dazugehörige CVE: https://www.cvedetails.com/vul…etin-Vbulletin-5.5.4.html

Naja am 7 May 2020 gab es einen Hinweis, dass dringend auf die aktuelle Version geupdated werden soll, mindestens jedoch auf Version 5.5.6

Quelle: https://forum.vbulletin.com/fo…-1-security-patch-level-1

Zitat von vBulletin

Older Versions

If you are using a version of vBulletin 5 Connect prior to 5.5.6, it is imperative that you upgrade as soon as possible. For more information on upgrading please see Quick Overview: Upgrading vBulletin Connect in the support forums.

Version 5.5.6 gab es seit Januar 2020 (Quelle), gefolgt von Verson 5.6.0 im März 2020 (Quelle)

Inwiefern das damit zusammenhängt, keine Ahnung..

Ich finde es gut, dass es hier wieder weitergeht. Und soviele Besucher wie gerade, gab es vermutlich schon lange nicht mehr. Vielleicht wird ja das Forum dadurch etwas wiederbelebt.

Ja, sieht echt gut aus.

Vom Stillstand zurück auf die Rennbahn.

Hat erstmal geklappt.

Moin,

Ich muss sagen, ich bin zwar seit 2006 hier angemeldet, war aber auch seit der Zeit hier (vermutlich) nicht mehr Anwesend. Das Benutzerkonto ist also nicht mehr im Bewusstsein gewesen.

Umso überraschter war ich, als mich die F-Secure ID Protection Software alarmierte, dass meine Daten geleakt wurden, sogar mit der Angabe, dass dies bei Telefon-Treff passierte.

Ich begab mich also auf Recherche, vom Anbieter, also Telefon-Treff, kein Statement zu finden. HPI bemüht, hier wurde der Leak meiner E-Mail bestätigt.

Resümee:

Meine Auffassung ist, dass ich einen Anbieter, der kompromittiert wurde, in der Pflicht sehe, seine betroffenen Mitglieder zu informieren. Sind da Dritte schneller, ist es eigentlich ein Armutszeugnis. Pannen passieren, Stärke ist es, wenn man das auch zugibt und klar und zeitnah kommunizieren kann.