Webserver von Militärs und Regierung leicht verwundbar

Den Chinesen wird derzeit weltweit zwar die Verantwortung für mehrere Cyberattacken zugewiesen, allerdings scheint es mit der Sicherheit vieler Server von Regierungen und Militärs ohnehin nicht zum Bestem bestellt zu sein. Statt auf hochspezialisierte Hacker und tolle Tools zurückgreifen zu müssen, fällt man offenbar bei vielen Systemen sowieso gleich mit der Tür ins Haus. So berichten US-Medien von neuen Fällen unsicherer Konfiguration und fehlender Wartung einiger über das Internet erreichbarer Militär-Server eines nicht näher bezeichneten europäischen Landes. Durch eine SQL-Injection-Schwachstelle sei es möglich gewesen, auf geschützte Daten zuzugreifen. Selbst nach der Benachrichtigung soll der Betreiber die Lücke nicht geschlossen haben – umso erstaunlicher, da das Wissen um diese Art von Schwachstellen und wie man sich davor schützt seit Langem bekannt ist (siehe auch den Hintergrundartikel "Giftspritze" auf heise Security).

Bereits Mitte Juli berichtete Associated Press von ähnlichen Problemen auf Servern des US-Militärs. Auf den betroffenen Servern waren geheime Pläne für die neue US-Botschaft in Bagdad, Analysen von Lüftüberwachungen militärischer Flughäfen und streng geheime Unterlagen über Sicherheitslücken einer US-Basis für jedermann per FTP herunterladbar.

Zudem sollen die Webauftritte vieler Institute und Regierungsserver mittlerweile missbraucht werden, um Besucher mit Schadcode zu infizieren oder Werbung für Potenzmittel zu treiben. Die Washington Post berichtete Ende August von Spam-Blogs auf den Webseiten der Lawrence Livermore National Labs, die die Aufsicht über das Atomwaffenarsenal der USA innehaben. Darin soll für Viagra und Cialis geworben worden sein. Zudem hätten einige Einträge auf Seiten verlinkt, die über Broswserlücken versuchen, den PC von Besuchern zu infizieren.

Ursache der Sicherheitsprobleme bei den genannten Lecks sollen nachlässige Sicherheitsrichtlinien sein, in deren Folge die Server nicht gepatcht und mangelhaft konfiguriert werden. Inbesondere bei den Servern der Verteidigungsministerien sei eigentlich eine durchgängige Verteidigungsstrategie für den Cyberspace zu erwarten.

Siehe dazu auch:

• No-Defense Department, Bericht von eWeek
• Pharmacy Spam Blogs At U.S. Nuclear Safety Lab, Bericht der Washington Post
• Unterlagen des US-Militärs öffentlich zugänglich, Meldung auf heise Security

(dab)