Security-Webinar. Februar Dr. Christopher Kunz, filoo GmbH

Transkript

1 Security-Webinar Februar 2015 Dr. Christopher Kunz, filoo GmbH

2 Ihr Referent _ Dr. Christopher Kunz _ CEO Hos4ng filoo GmbH / TK AG _ Promo4on IT Security _ X.509 / SSL _ Vorträge auf Konferenzen _ OSDC 2012, 2014 _ Autor von Ar4keln & Büchern

3 filoo GmbH _ Wir sind die Hos4ng- Tochter der Thomas- Krenn.AG _ Sicheres, hochperformantes Hos4ng in Frankfurt _ Mitarbeiter in Gütersloh und Freyung _ Primärer Rechenzentrumsstandort Frankfurt _ Tier3, ISO _ Fläche in zwei Brandabschni^en _ Managed Services _ Security Services _ Systemadministra4on _ Planung & Deployment

4 Agenda _ GHOST Security Bug - Analyse _ Was ist eigentlich ein Security Bug? _ Was ist ein Exploit und wie geht das? _ Offene Serverdienste aktuelle Gefahren _ Aktuelles Beispiel: MongoDB _ Dauerbrenner: SNMP, NTP, etc. _ Wo liegen die Gefahren?

5 GHOST _ CVE , erschienen _ Sicherheitsproblem in Linux glibc Bibliothek _ Zentrale Bibliothek in Linux, keines kommt ohne sie aus _ à Jedes Linux poten4ell gefährdet _ Entdeckt von Qualys _ h^ps:// security- advisories/ghost- CVE txt

6 GHOST Details _ Puffer- Überlauf in der Funk4on nss_hostname_digits_dots() _ Diese Funk4on ist Helfer- Funk4on für gethostbyname*() _ Übergabeparameter ist ein Hostname/IP- Adresse _ Beim Überlauf können 4-8 Byte vom Angreifer überschrieben werden _ Damit kann man Schaden anrichten? Ja, man kann. _ Angriff aus der Ferne für mindestens einen Dienst

7 Exkurs: Buffer Overflow _ Beliebte Sicherheitslücke in C- Programmen _ Mangelhare Längenprüfung bei Variablenlängen _ Beispiel: char A[8] = ; // Variable A ist 8 Byte lang strcpy(a, ) // 9 Byte // 9 Byte in diese Variable schreiben _ Nun wird 1 Byte des Nachbarspeichers überschrieben _ Wenn der überschreibende Wert vom User kommt... _...wird s gefährlich

8 GHOST Details 2 _ In glibc: Sehr detaillierte Längenprüfung _ Leider 4 (32Bit) bzw. 8 Byte (64 Bit) vergessen _ Hier: Input für Buffer Overflow vom User _ Ein Hostname / IP- Adresse in IPv4 _ Muss speziellen Anforderungen genügen _ Erstes Zeichen eine Zahl _ Letztes Zeichen KEIN Punkt _ Nur Zahlen und Punkte _ Mindestens 1KB lang _ Gül4ge IPv4- Adresse

9 GHOST IP-Adress Overflow _ Wie sieht diese magische Variable aus? _ [...] _ IPv6 nicht möglich ( : verboten) _ Und wie kann man damit hacken? _ Es ist möglich, mit diesen 4 Byte einen Speicherbereich zu kapern _ Dieser kann überschrieben werden _ Damit kontrolliert man das gerade laufende Programm

10 GHOST in real life _ Einziger echter Exploit: Exim _ Man kann mit sehr langem Hostname angreifen _ (Mehrere Zwischenschri^e ausgelassen) _ Konfigura4on des Servers im Speicher überschreiben _ Darin gibt es Access Control Lists _ Und darin eine Möglichkeit, Kommandos auszuführen à Beliebige Kommandos von Ferne ausführen - Jackpot

11 GHOST wie schlimm? _ EXIM ist der einzige dokumen4erte Real- Life Exploit _ Ansonsten keine der üblichen Verdäch4gen _ Nicht alle Distribu4onen verwundbar _ Angreiyare Funk4onen obsolet, moderne Sorware nutzt andere _ Trotzdem: Patchen! _ Fazit: Nicht jeder PR- wirksame Bug ist schlimm

12 Risiko offener Serverdienst _ Heise.de, : Studenten entdecken Tausende offene Firmen- Datenbanken im Internet _ Ungesicherte MongoDB- Serverdienste _ Keine Zugriffskontrolle _ Leicht zu erscannen und auszunutzen _ Sensi4ve Daten, Code- Ausführung, Denial of Service...

13 Beispiel MongoDB _ NoSQL- Datenbank _ Horcht auf Port 27017/TCP _ Per default auf allen Interfaces / IP- Adressen _ In vielen Distribu4onen vernünrigere Defaults _ Keine Nutzer- Authen4fizierung _ Vollzugriff auf alle Daten _ Viele offene Datenbanken im Internet _ Es ist nicht illegal, wenn es keinen Zugriffsschutz gibt...

14 Andere Beispiele _ MemcacheD, Redis _ Key- Value- Stores, or für Caching genutzt _ Gerade Caches enthalten viele sensi4ve Daten _ MySQL, PostgreSQL, Oracle _ Normalerweise Zugriffsschutz _ SNMP- Server _ Default- Community public _ Sensi4ve Daten des lokalen Netzes / Servers _ DoS- Gefahr! _ NTP- Server _ DoS- Gefahr

15 DoS durch offene Services _ UDP- basierte Dienste können or mißbraucht werden _ Mit gefälschter Absendeadresse Anfrage senden _ Antwort geht an die gefälschte Adresse _ Diese ist das Ziel des DoS _ Mul4plikator notwendig, also kleine Anfrage à große Antwort _ Das ist der Fall bei SNMP, DNS, SSDP, NTP

16 DoS/Angriff vermeiden _ Wo immer möglich, nur auf lokale Interfaces binden _ / etc. _ Viele Dienste unterstützen /etc/hosts.allow / hosts.deny _ Nur TCP- basierte Dienste _ Wenn gar nicht anders möglich: Firewallen per iptables etc.

17 10 Millionen Paßwörter _ Liste mit 10 Millionen Usernamen / Paßwörtern _ Aus öffentlichen Quellen (github, nopaste, etc.) _ 194MB.txt Datei _ Schauen Sie nach, ob Ihre Daten geleaked sind! _ h^ps://xato.net/passwords/ten- million- passwords/ #.VNmyXTU2w_s

18 Vielen Dank _ Ich freue mich auf Ihre Themenvorschläge und Fragen! _ Kontaktdaten: _ E- Mail: chris@filoo.de _ Telefon: 05241/ _ Besuchen Sie filoo! _ h^ps:// _ h^p://twi^er.com/filoogmbh