/ Security / Alte Owncloud und Nextcloud-Versionen: Parteien und Ministerien nutzen unsichere Cloud-Dienste

Alte Owncloud und Nextcloud-Versionen: Parteien und Ministerien nutzen unsichere Cloud-Dienste

121500-121410-i_rc.jpg
Moritz Rosenfeld an März 6, 2017 - 7:10 pm in Security

Mehrere Parteien und Ministerien nutzen offenbar alte Versionen von Owncloud und dem inoffiziellen Nachfolger Netxtcloud, um vertrauliche Informationen zu speichern – betroffen sind unter anderem die AfD und die Grünen, auch das Büro der Vereinten Nationen in Genf ist betroffen. Das berichtet Spiegel Online unter Bezug auf Informationen des Bundesamtes für Sicherheit in der Informationstechnik, Nextcloud selbst hat ebenfalls einen Blogpost verfasst.

Im Falle der AfD wurde nach Angaben des Spiegel ungepatchte Software aus dem Jahr 2013 genutzt, dem Gründungsjahr der Partei. Genauere Angaben macht der Spiegel nicht. Angreifer hätten sich „mit wenigen Tricks Zugang zu den Inhalten der Cloud und zu anderen Servern der Partei“ verschaffen können. Golem.de konnte die Warnungen am Beispiel der AfD nachvollziehen, so war zum Beispiel das Sicherheitszertifikat der Partei abgelaufen.

„Stark veraltete Softwareversion“

Auch die Grünen sollen „eine stark veraltete Softwareversion“ genutzt haben, die zahlreiche Angriffsflächen biete. Die Partei sieht die Verantwortung dafür bei einem Dienstleister. Denn die Plattform werde von „einem externen Dienstleister betrieben, der auch für die Sicherheit verantwortlich“ sei. „Insofern war von unserer Seite keine Reaktion notwendig.“

Auf Anfrage von Golem.de sagte Lukas Reschke, bei Nextcloud für den Bereich Security zuständig: „Wir haben Owncloud- und Nextcloud-Instanzen mit unserer Software gegen bekannte Sicherheitslücken getestet und diese Ergebnisse an das Computer Emergency Response Team des Bundes (Cert-Bund) weitergegeben. Wir freuen uns, dass die Behörde die notwendigen Schritte unternommen hat, um Nutzer über die Schwachstellen zu informieren.“ Bei den getesteten Fehlern handelt es sich also nicht um unbekannte Schwachstellen (0-Day-Exploits), daher empfiehlt Reschke:„Alle Kunden sollten auf die neueste verfügbare Version wechseln.“

Das BSI warnt vor der weiteren Verwendung der unsicheren Instanzen, Angreifer könnten Informationen ausspionieren und für Erpressungen nutzen. Weiter heißt es: „Andere Schwachstellen ermöglichen Angreifern die Ausführung beliebigen Programmcodes auf dem Cloud-Server. Dies kann gegebenenfalls zu einer vollständigen Kompromittierung des Systems und dessen Missbrauch für weitere kriminelle Aktivitäten führen“, sagte ein BSI-Sprecher Spiegel Online.

Read more on: Source

Kommentare sind deaktiviert