Checkmarx enttarnt gefährliche Schwachstellen im Online-Portal Meetup.com

Das Security Research Team von Checkmarx hat zwei eklatante Sicherheitslücken bei der Online-Plattform Meetup.com entdeckt – einem Portal, das weltweit Millionen von Menschen nutzen, um persönliche oder virtuelle Treffen zu organisieren. Die von Checkmarx dokumentierten Schwachstellen erlaubten es Angreifern, sich bei Meetup-Events zunächst Co-Organisator-Rechte zu sichern und dann Zahlungen der Teilnehmer auf beliebige Paypal-Konten umzuleiten. Die Sicherheitsexperten von Checkmarx haben den Betreiber über die Schwachstellen informiert, der sie inzwischen behoben hat.

Das Checkmarx Team hatte Meetup.com als einen von mehreren Online-Diensten unter die Lupe genommen und war dabei auf zwei weit verbreitete und äußerst gefährliche Schwachstellen gestoßen: Cross-Site Scripting (XSS) und Cross-Site Request Forgery (CSRF). Die Kombination der beiden Schwachstellen ermöglichte es den Security-Experten, Scripts in das Chat-Fenster eines Meetup-Events zu injizieren und so die volle Kontrolle über virtuelle Veranstaltungen zu erlangen. Hatte sich das Research-Team erst Organisator-Rechte gesichert, konnte es alle Privilegien nutzen, die sonst nur dem Veranstalter vorbehalten sind.

Gängige, aber gefährliche Sicherheitslücken
Nachdem sich das Experten-Team ohne jegliche Autorisierung oder Genehmigung von einem regelmäßigen Meetup-Nutzer zu einem Mitorganisator befördert hatte, führte es den Angriff im Rahmen eines Proofs-of-Concept noch eine ganze Stufe weiter: Unter Verwendung derselben Technik entwickelten die Experten ein zweites Skript, mit dem sich das für Teilnehmerzahlungen hinterlegte PayPal-Konto ändern ließ. Der rechtmäßige Organisator hätte von dieser Manipulation nichts bemerkt, da das System ihn nicht über die Änderung der E-Mail-Adresse informiert hätte – sämtliche Zahlungen wären unbemerkt an den Hacker geflossen.

Besonders kritisch: Da die Chat-Funktion standardmäßig in allen Veranstaltungen verfügbar ist, waren potenziell auch alle Meetups von der Schwachstelle betroffen.

Sicherheitslecks geschlossen
Die Sicherheitsexperten von Checkmarx haben die identifizierten Schwachstellen umfassend dokumentiert und anschließend die Meetup.com-Plattform über das enorme Risikopotenzial informiert. Der Betreiber nahm die Hinweise ernst, übernahm die Verantwortung und schloss die Sicherheitslücken.

Checkmarx sieht es als eine der wichtigsten Aufgaben eines Security-Anbieters, das Bewusstsein für die Software-Security zu schärfen und aufzuzeigen, welche Gefahr von unsicheren Anwendungen ausgeht. Wenn die Entwickler mit bekannten Schwachstellen wie Cross-Site Scripting oder Cross-Site Request Forgery vertraut sind und die etablierten Best Practices für sicheres Coding einhalten, lässt sich das Risikopotenzial bereits nachhaltig minimieren. Alternativ sind auf dem Markt heute auch durchgängige Software-Security-Plattformen erhältlich, die den Anwendungscode über den gesamten Entwicklungszyklus analysieren und sicherheitsrelevante Fehler im Code bereits in der Entwicklungsphase identifizieren und beheben.

* * * * *

Publiziert durch PR-Gateway.de.

Veröffentlicht von:

Checkmarx Ltd.

Jabotinsky Street 2
5250501 Ramat Gan
Deutschland
Telefon: +49 175 2676 264
Homepage: https://www.checkmarx.com/

Ansprechpartner(in):
Dr. Christopher
Pressefach öffnen

Firmenprofil:

Über Checkmarx
Checkmarx, einer der weltweit führenden Anbieter im Bereich Software-Security, ermöglicht es Kunden mit seiner integrierten Software-Exposure-Plattform, die Angriffsfläche ihrer Anwendungen nachhaltig zu minimieren. Das Unternehmen setzt mit seinem innovativen, ganzheitlichen Ansatz an der Schnittstelle von DevOps und Security an, um auch in schnell getakteten DevOps-Umgebungen durchgehend die hohe Sicherheit und Qualität der Software zu gewährleisten, ohne die Entwicklungsprozesse zu stören. Weltweit verwenden mehr als 1.400 Unternehmen die Lösungen von Checkmarx. Checkmarx ist für fünf der zehn weltweit größten Software-Hersteller, vier der zehn größten amerikanischen Banken sowie für zahlreiche Regierungseinrichtungen und Fortune 500 Unternehmen tätig, darunter SAP, Samsung und Salesforce.com. Mehr dazu unter Checkmarx.com.

Informationen sind erhältlich bei:

H zwo B Kommunikations GmbH
Neue Straße 7
91088 Bubenreuth
michal.vitkovsky@h-zwo-b.de
+ 49 9131 81281-25
http://www.h-zwo-b.de/
168 Besucher, davon 1 Besucher heute