GMX Accounts können gehackt werden?

[manfred87]

ich: nehmen wir mal an ich wäre der Überzeugung bei euch gibt's ein übles Sicherheitsloch im Passwort-Reset, an wen könnte ich mich da wenden?
gmx-hotline: Da gibt's garkeine Möglichkeiten.
ich: Aber ihr müsst doch offen sein für Informationen wenn ihr ein Sicherheitsproblem habt.
gmx-hotline: Wir ham keine Sicherheitsprobleme

naja wirklich verübeln kann ich der Hotline die Inkompetenz nicht.. Das sind wohl eigentlich Berater, die Leuten erklären wie man Outlook installiert ( weshalb sonst sollte man bei gmx anrufen? ). Die haben sich bestimmt noch nicht mit dem Thema Sicherheit auseinander gesetzt und haben ein Script auswendig gelernt ( Da steht sicher drin "wir haben keine Sicherheitsprobleme" )

weiss denn jemand wie man da jemanden aus der Chefetage erreichen kann? ich probier die Tage mal +49 721/ 960-9741 ( 8-18 Uhr ) und versuche mich irgendwie zu
Frank Einhellinger, Jan Oetjen
durchstellen zu lassen ^^

[1714690724]

1714690724

[Zicore47]

Das Passwort zurücksetzen Formular ist wieder verfügbar, ich konnte demnach wieder mein Passwort via Handy zurücksetzen.
Dort stand: Letzter Login: 19.01.2015, 05:49 Uhr

Edit: Das Passwort Formular ist wohl abhängig von der IP bzw. anderen Faktoren. Im Büro konnte ich mein Passwort über das Formular zurücksetzen, Zuhause nicht.
Was für ein Laden...

[Zicore47]

Aktuelle Informationen

Lieber GMX Nutzer, aufgrund aktueller Wartungsarbeiten ist der Aufruf des GMX Passwort vergessen Prozesses vorübergehend nicht möglich.
Unsere Techniker werden die Wartungsarbeiten schnellstmöglich durchführen. Wir entschuldigen uns für die Unannehmlichkeiten und bitten um Ihr Verständnis und Ihre Geduld.

[molecular]

Aktuelle Informationen

Lieber GMX Nutzer, aufgrund aktueller Wartungsarbeiten ist der Aufruf des GMX Passwort vergessen Prozesses vorübergehend nicht möglich.
Unsere Techniker werden die Wartungsarbeiten schnellstmöglich durchführen. Wir entschuldigen uns für die Unannehmlichkeiten und bitten um Ihr Verständnis und Ihre Geduld.

Das liess mich zunächst hoffen.

Jedoch musste ich feststellen, daß mein account wieder übernommen wurde. Irgendwann zwischen gestern morgen und jetzt.

Was mir beim reset meines pw aufgefallen ist: die Option zum Reset per alternativer email-adresse steht nicht mehr zur verfügung.

[manfred87]

Also ich habe heute um 01:09 Uhr eine Email an meine alternative Adresse bekommen mit einem Rücksetzlink.. Mein Account bei google ist sicher, und die email ist ungelesen..

trotzdem ist mein Account wieder übernommen, auf der Übersichtsseite steht "Passwort geändert 21.01."
und direkt 2 min später eingeloggt:
Letzter Login: 21.01.2015 01:11 Uhr ( sieht man erst wenn man sich neu eingeloggt hat )
aber eine aktive session gibt es jetzt nicht mehr!

das verrückte nun: ich kann den Passwort-Link anklicken und das Passwort wieder für mich ändern!
klicke ich ihn danach erneut an, steht dort jedoch dass der Token ungültig sei!
dh sie haben den Token gar nicht entwendet!
aber trotzdem das pw geändert ^^

[qwk]

Jedoch musste ich feststellen, daß mein account wieder übernommen wurde. Irgendwann zwischen gestern morgen und jetzt.

Mal wieder blöd gefragt: verfällt so ein Token zum Passwort-Reset bei GMX möglicherweise einfach nicht?
Dann könnte der Angreifer dein Passwort immer und immer wieder zurücksetzen, sieht ja fast danach aus.

[qwk]

das verrückte nun: ich kann den Passwort-Link anklicken und das Passwort wieder für mich ändern!
klicke ich ihn danach erneut an, steht dort jedoch dass der Token ungültig sei!
dh sie haben den Token gar nicht entwendet!
aber trotzdem das pw geändert ^^

fubar.

[manfred87]

nee scheinbar gilt ein Token nur 24 Stunden ( steht in der mail ) und geht nur einmal..

man wird nach Anklicken des Tokens übrigens nochmal gefragt, welche Adresse man zurück setzen möchte.. Also immerhin ein kleiner Denkaufwand für den Hacker ^^

[manfred87]

Tadaaa! Meine Tagelangen Bemühungen an der Hotline wurden endlich bemüht, und man hat tatsächlich mit den Sicherheitsleuten gesprochen... Diese haben auch prompt reagiert!
Also wer seine Vorfälle auch melden will: security@1und1.de scheint die richtige Adresse zu sein!

Vermutete Schwachstelle in Passwort-Resetfunktion für GMX
Security <security@1und1.de>
17:14 (vor 7 Minuten)

an mich
Sehr geehrter Herr ***

herzlichen Dank für Ihre E-Mails und die Hinweise. Wir nehmen
diese sehr ernst und versuchen derzeit, den von Ihnen beschriebenen
Vorgang zu reproduzieren und werden falls vorhanden eine
entsprechende Schwachstelle beseitigen.

Darüber hinaus haben wir uns entschlossen bis zur Klärung des
Sachverhalts die PW Reset Funktion zu deaktivieren.

Sobald wir weitere Informationen haben, werden wir uns wieder mit
Ihnen in  Verbindung setzen.

Falls Sie uns Schwachstellen melden oder Rückfragen zu diesem Sachverhalt haben
möchten können Sie einfach auf diese E-Mail antworten. Anbei finden Sie unseren
PGP Key falls Sie die Mail verschlüsselt senden möchten.

Nochmals herzlichen Dank und freundlichen Grüße


Niko Thome,
- 1&1 Internet AG, IT Security

-----BEGIN PGP PUBLIC KEY BLOCK-----
Version: GnuPG v1
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=pPn1
-----END PGP PUBLIC KEY BLOCK-----

-----BEGIN PGP SIGNATURE-----
Version: GnuPG v1
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=ze/O
-----END PGP SIGNATURE-----

[Zicore47]

Tadaaa! Meine Tagelangen Bemühungen an der Hotline wurden endlich bemüht, und man hat tatsächlich mit den Sicherheitsleuten gesprochen... Diese haben auch prompt reagiert!
Also wer seine Vorfälle auch melden will: security@1und1.de scheint die richtige Adresse zu sein!

*schnipp*

Werde mich direkt mal dort melden.

Edit: Passwort Reset ist wieder im Wartungsarbeiten Modus

[david123]

Es wäre cool wenn man den leuten einen Account zur Verfügung stellen kann, der
dauernd wieder gehackt wird. Dann können sie es selbst überprüfen.

Bin aber auch sehr froh zu hören dass das Problem jetzt untersucht wird. Danke
Manfred für deine Hartnäckigkeit!

[qwk]

Es wäre cool wenn man den leuten einen Account zur Verfügung stellen kann, der
dauernd wieder gehackt wird. Dann können sie es selbst überprüfen.

Die haben doch bestimmt Zugriff auf moleculars account, scheint ja Allgemeingut zu sein

[Zicore47]

Mir wurde nun via E-Mail von security@1und1.de gesagt, dass nur wenige Personen potentiell betroffen waren und die Lücke wohl nun geschlossen wurde.

[molecular]

Mir wurde nun via E-Mail von security@1und1.de gesagt, dass nur wenige Personen potentiell betroffen waren und die Lücke wohl nun geschlossen wurde.

Da bin ich ja mal gespannt.

Seit meine alternative email-adresse entfernt wurde (vielleicht von gmx?) war keine Übernahme mehr.

[manfred87]

düdüm...

http://www.heise.de/security/meldung/1-1-Kundenportal-akzeptierte-jedes-Passwort-2527421.html

Durch eine schwerwiegende Panne stand ein Reseller-Kundenportal von 1&1 sperrangelweit offen. Mit einem beliebigen Passwort bekam man administrativen Zugriff auf Hosting-Pakete und Domains – offenbar sogar auf 1und1.de, gmx.de und web.de.

Sesam öffne Dich: Die Adminkonsole konnte mit jedem Passwort entsperrt werden, das mindestens 1 Zeichen lang ist. Vergrößern In dem zu 1&1 gehörigen Webhosting-Kundenportal configtools.de klaffte ein schwerwiegendes Sicherheitsloch: Der Dienst hat in etlichen Fällen jedes beliebige Passwort akzeptiert. Da als Login-Name lediglich eine mit dem Kundenkonto verknüpfte Domain eingegeben werden muss, hätte man sich leicht administrativen Zugriff auf unzählige Hosting-Pakete und Domains verschaffen können. Entdeckt hat das Problem die Webdesign-Agentur Bochmann im Rahmen eines Sicherheits-Audits. Das Unternehmen setzt sich daraufhin mit 1&1 und heise Security in Verbindung. Wir konnten das Problem verifizieren.

configtools.de ähnelt stark dem Kundencenter, das über 1und1.de erreichbar ist. Es bietet umfassende Konfigurations- und Zugriffsmöglichkeiten.  Vergrößern Betroffen waren jene Kunden, die ihren Vertrag vor dem Jahr 2007 über Reseller der Schlund+Partner AG abgeschlossen haben. Schlund wurde 2000 von 1&1 zu 100 Prozent übernommen, 2007 ging das Unternehmen schließlich in der 1&1 Internet AG auf. Offenbar gibt es noch viele Verträge, die älter als acht Jahre sind: heise Security konnte auf Anhieb mehrere tausend potenziell betroffene Domains ausfindig machen – vermutlich ist die tatsächliche Anzahl noch viel größer. Anscheinend war es sogar möglich, neben 1und1.de unter anderem auch die zum Mutterkonzern United Internet gehörigen Domains gmx.de und web.de zu konfigurieren.

Gegenüber heise Security erklärte 1&1, dass es sich um einen " temporären Software-Fehler" handelte, durch den "es am 21.01.2015 zwischen 10-19.00 Uhr bei einem sehr eingeschränkten Kundenkreis vereinzelt möglich" war, "den Login-Prozess zu Configtools.de mit abweichenden Login-Daten abzuschließen und so einen Lese- und Schreibzugriff zu erhalten". Demnach ist die Lücke erst kurz bevor sie durch die Agentur Bochmann entdeckt wurde aufgetreten. In dem angegebenen Zeitraum soll es bei einer niedrigen dreistelligen Kundenanzahl zu Login-Aktivitäten gekommen sein. Die betroffenen Kunden sollen heute per Mail über die Sicherheitspanne informiert und gebeten werden, ihre Kundendaten zu überprüfen. (rei)

also dank mir hat man es wohl am 21. um 10 Uhr gefunden und dann bis 19 uhr behoben.. also besser der Presse sagen dass es nur 9 Stunden offen war, und dass es durch eine Agentur gefunden wurde und nicht dass es die Kunden bereits seit 3 Wochen wussten -.-

immerhin wissen wir jetzt dass der "krasse Hacker" nur jemand war, der Formulare ausprobiert und dabei merkt dass jedes(!) Passwort gültig ist..

[david123]

Sicher, dass es das ist? Soweit ich das sehe betrifft das nur (einige) Hosting-Verträge. Ich bin
gerne bereit zu glauben dass GMX vertuscht was zu vertuschen ist, aber ich sehe die Brücke
zu den GMX-Mail-Accounts nicht so direkt..

[molecular]

ich danke dir manfred für deine Bemühungen... aber irgendwie passt das nicht so ganz zu dem was wir bisher eruiert hatten.

vielleicht klaff(t)en bei gmx mehrere Löcher? Oder das steht irgendwie doch in zusammenhang.

EDIT: mein account ist älter als 7 Jahre. Habe nur email dort, keine domains oder hosting.

EDIT2: ach, und ich erinnere nochmals daran:

wir ham keine Sicherheitsprobleme

[manfred87]

Dort stand doch: Man konnte die Domain www.gmx.de verwalten.. also zb Kundendaten ändern, wie unsere Accounts.. Und gmx ist definitv älter als 7 Jahre, und war früher bei Schlund. Am auffälligsten finde ich jedoch wie gesagt die Übereinstimmung des Datums: Zwei Sicherheitslücken gleichzeitig gefunden am 21.01. !?
Aber lassen wir uns mal überraschen, vielleicht gibt es ja noch eine dritte Lücke oder mehr ^^

[molecular]

Dort stand doch: Man konnte die Domain www.gmx.de verwalten.. also zb Kundendaten ändern, wie unsere Accounts.. Und gmx ist definitv älter als 7 Jahre, und war früher bei Schlund. Am auffälligsten finde ich jedoch wie gesagt die Übereinstimmung des Datums: Zwei Sicherheitslücken gleichzeitig gefunden am 21.01. !?
Aber lassen wir uns mal überraschen, vielleicht gibt es ja noch eine dritte Lücke oder mehr ^^

Hab ich was verpasst? Wieso 2 Lücken gleichzeitig gefunden am 21.01.?

[manfred87]

a) Am 21. hat 1und1 gesagt dass sie unsere Passwort Lücke behoben haben
b) heise hat gesagt am 21. wurde eine Lücke bei 1und1 entdeckt, die Zugriff auf alle 1und1-Seiten ermöglicht,darunter gmx

ich sag ja, dass a==b ..