Vor etwas über einem Jahr haben wir für einen Kunden eine Analyse seiner historisch gewachsenen Webseite durchgeführt. Dazu untersuchten wir diverse Aspekte - unter anderem Sicherheit und Performance. Dabei stießen wir auf eine interessante Code-Injection-Lücke.
SQL-Injection ist eine Sau, die so oft durchs Dorf getrieben wurde, dass relativ viele Menschen - auch solche, die nicht beruflich mit IT-Sicherheit zu tun haben - dieses Stichwort bereits einmal gehört haben. Leider ist es so, dass nicht unmittelbar Betroffene dabei stehenbleiben.
Es ist aber so, dass man den Begriff allgemeiner fassen sollte: Code-Injection trifft es meiner Ansicht nach besser: Jede Programmiersprache ist anfällig für den SQL-Injection zugrunde liegenden Mechanismus: Fehlen Gegenmaßnahmen, so wird Code, der in irgendwelche Formularfelder in Webformularen eingegeben wird, im Kontext der Anwendung ausgeführt. In schlimmen Fällen kann der Code dann sogar aus diesem Kontext ausbrechen.
Die besagte Webseite unseres Kunden nutzte TeX, um eingegebene Daten in Bilder umzuwandeln (zum Beispiel Formeln). Ausgehend von Darstellungsfehlern in den Resultaten bei bestimmten Eingaben analysierten wir das System und fanden heraus, dass diese Eingaben ohne jedes Sanitizing in die Datenbank übernommen wurde.
Als wir diese Tatsache aufgedeckt hatten, fragten wir uns, ob damit Code-Injection möglich wäre und wenn ja - wie gefährlich das werden könnte. Meine Kollegin - das muss ich zugeben - war bereits zu diesem Zeitpunkt überzeugt, denn schließlich ist TeX als Programmiersprache Turing-complete.
Ich recherchierte noch ein wenig - vielleicht war ja vor uns bereits jemand auf die Idee gekommen und hatte seine Ergebnisse publiziert?
Ergebnis dieser Recherche war der hier angegebene Link auf ein PDF, in dem ein TeX-Virus beschrieben wird. Damit war auch für mich klar: Code-Injection via TeX funktioniert und ist eine reale Bedrohung - vielleicht nicht in der Größenordnung wie bei SQL-Injection (Webseiten mit Datenbanken sind einfach sehr viel häufiger anzutreffen als solche, die TeX benutzen), aber mindestens genau so gefährlich.
17.09.2017
Ich mag Markup - egal in welcher Form (ich habe hin und wieder darüber berichtet). XML - wie der Name schon sagt - gehört auch dazu und zu meinem Erstaunen habe ich neulich wieder mal etwas Neues darüber gelernt...
Synchronisierung von Lorenz-Systemen III
23.10.2020
Nachdem ich in einem vorhergehenden Artikel auf das Problem des kleinen Parameterraums im Zusammenhang mit der Nutzung synchronisierter chaotischer Systeme hingewiesen hatte will ixch hier untersuchen, wie sensibel solche Systeme auf Abweichungen der Parameterwerte zwischen treibendem und getriebenen System reagieren
WeiterlesenAndroid Basteln C und C++ Chaos Datenbanken Docker dWb+ ESP Wifi Garten Geo Go GUI Gui Hardware Java Java. Komponenten Jupyter JupyterBinder Komponenten Links Linux Markdown Markup Music Numerik OpenSource PKI-X.509-CA Präsentationen Python QBrowser Rants Raspi Revisited Security Software-Test sQLshell TeleGrafana Verschiedenes Video Virtualisierung Windows Upcoming...
Ich habe neulich beschrieben, dass ich aktuell mehr und mehr bemerke, dass Dinge, für die ich in meinem NeoVim-Setup Plugins benutzt habe sehr gut auch mit Bordmitteln funktionieren.
WeiterlesenIch habe neulich wieder einmal eine Upgrade- und Backup-Sitzung mit meinen diversen Linuxinstallationen veranstaltet. Der Zeitpunkt schien mir gekommen, da es eine neue stable Variante von Debian (Trixie) gibt.
WeiterlesenIch diskutiere immer wieder gern über das was heute Machine Intelligence oder Artificial Intelligence ( oder wie die ganzen anderen hohlen Phrasen heißen, die dafür heutzutage als Buzzwords missbraucht werden). Das geschieht online, in meinem $dayjob oder auch privat. Meine Meinung steht fest: das ist alles Quatsch und steht in keiner Relation zum Nutzen
WeiterlesenManche nennen es Blog, manche Web-Seite - ich schreibe hier hin und wieder über meine Erlebnisse, Rückschläge und Erleuchtungen bei meinen Hobbies.
Wer daran teilhaben und eventuell sogar davon profitieren möchte, muss damit leben, daß ich hin und wieder kleine Ausflüge in Bereiche mache, die nichts mit IT, Administration oder Softwareentwicklung zu tun haben.
Ich wünsche allen Lesern viel Spaß und hin und wieder einen kleinen AHA!-Effekt...
PS: Meine öffentlichen Codeberg-Repositories findet man hier.