Vor etwas über einem Jahr haben wir für einen Kunden eine Analyse seiner historisch gewachsenen Webseite durchgeführt. Dazu untersuchten wir diverse Aspekte - unter anderem Sicherheit und Performance. Dabei stießen wir auf eine interessante Code-Injection-Lücke.
SQL-Injection ist eine Sau, die so oft durchs Dorf getrieben wurde, dass relativ viele Menschen - auch solche, die nicht beruflich mit IT-Sicherheit zu tun haben - dieses Stichwort bereits einmal gehört haben. Leider ist es so, dass nicht unmittelbar Betroffene dabei stehenbleiben.
Es ist aber so, dass man den Begriff allgemeiner fassen sollte: Code-Injection trifft es meiner Ansicht nach besser: Jede Programmiersprache ist anfällig für den SQL-Injection zugrunde liegenden Mechanismus: Fehlen Gegenmaßnahmen, so wird Code, der in irgendwelche Formularfelder in Webformularen eingegeben wird, im Kontext der Anwendung ausgeführt. In schlimmen Fällen kann der Code dann sogar aus diesem Kontext ausbrechen.
Die besagte Webseite unseres Kunden nutzte TeX, um eingegebene Daten in Bilder umzuwandeln (zum Beispiel Formeln). Ausgehend von Darstellungsfehlern in den Resultaten bei bestimmten Eingaben analysierten wir das System und fanden heraus, dass diese Eingaben ohne jedes Sanitizing in die Datenbank übernommen wurde.
Als wir diese Tatsache aufgedeckt hatten, fragten wir uns, ob damit Code-Injection möglich wäre und wenn ja - wie gefährlich das werden könnte. Meine Kollegin - das muss ich zugeben - war bereits zu diesem Zeitpunkt überzeugt, denn schließlich ist TeX als Programmiersprache Turing-complete.
Ich recherchierte noch ein wenig - vielleicht war ja vor uns bereits jemand auf die Idee gekommen und hatte seine Ergebnisse publiziert?
Ergebnis dieser Recherche war der hier angegebene Link auf ein PDF, in dem ein TeX-Virus beschrieben wird. Damit war auch für mich klar: Code-Injection via TeX funktioniert und ist eine reale Bedrohung - vielleicht nicht in der Größenordnung wie bei SQL-Injection (Webseiten mit Datenbanken sind einfach sehr viel häufiger anzutreffen als solche, die TeX benutzen), aber mindestens genau so gefährlich.
17.09.2017
Ich mag Markup - egal in welcher Form (ich habe hin und wieder darüber berichtet). XML - wie der Name schon sagt - gehört auch dazu und zu meinem Erstaunen habe ich neulich wieder mal etwas Neues darüber gelernt...
Synchronisieren Zwischenablage mit XPRA
01.09.2019
Nachdem ich neulich mein XPRA-Skript nochmal ein wenig erneuert habe, hatte ich ein Problem:
Weiterlesen...Android Basteln C und C++ Chaos Datenbanken Docker dWb+ ESP Wifi Garten Geo Git(lab|hub) Go GUI Gui Hardware Java Jupyter Komponenten Links Linux Markdown Markup Music Numerik PKI-X.509-CA Python QBrowser Rants Raspi Revisited Security Software-Test sQLshell TeleGrafana Verschiedenes Video Virtualisierung Windows Upcoming...
Eine neue Musikreihe/Show auf Youtube gefunden...
Weiterlesen...Ich habe neulich über meinen kleinen Erfolg berichtet, einen Futro über das Netzwerk zu booten. Das war allerdings nur das Minimalziel...
Weiterlesen...Ich habe hier bereits von den Anfängen meiner Versuche berichtet, Ersatz für die Raspis und vergleichbarer Hardware zu finden.
Weiterlesen...Manche nennen es Blog, manche Web-Seite - ich schreibe hier hin und wieder über meine Erlebnisse, Rückschläge und Erleuchtungen bei meinen Hobbies.
Wer daran teilhaben und eventuell sogar davon profitieren möchte, muß damit leben, daß ich hin und wieder kleine Ausflüge in Bereiche mache, die nichts mit IT, Administration oder Softwareentwicklung zu tun haben.
Ich wünsche allen Lesern viel Spaß und hin und wieder einen kleinen AHA!-Effekt...
PS: Meine öffentlichen GitHub-Repositories findet man hier - meine öffentlichen GitLab-Repositories finden sich dagegen hier.