Sicherheitslücke in der Nutzerverwaltung?

schlauchboot · 2010-08-06T06:02:37.000Z

Ich habe gerade versehentlich möglicherweise eine Sicheheitslücke in der Nutzerverwaltung im WiKi gefunden. An wen müßte man dies ggf. melden?

Problem:

Im ersten Schritt ändert man die E-Mail-Adresse in seinen Nutzerdaten. Dann bekommt man eine E-Mail an die neue Adresse, um diese zu Bestätigen. Den ersten Schritt kann man nur durchführen, wenn man sein Passwort vorher eingegeben hat.

Zweiter Schritt: In dieser Bestätigungs E-Mail muß man zur Bestätigung der Änderung nur auf einen Link klicken. Hier ist die Eingabe eines Passwortes nicht mehr notwendig – war jedenfalls bei mir nicht notwendig. Ich war dann ohne erneute Passworteingabe in meinen Benutzerdaten und konnte diese erneut ändern – also z.B. auch mein Passwort…

Wenn man sich nun beim Eintippen der E-Mail-Adresse im ersten Schritt vertippt, bekommt (sofern diese gültig ist) jemand anderes die Bestätigungsmail, und könnte das Passwort ändern, mithin eine Identität stehlen…???

OPerivar · 2010-08-06T06:09:05.000Z

schlauchboot:

…wenn man sein Passwort vorher eingegeben hat.

Zweiter Schritt: In dieser Bestätigungs E-Mail muß man zur Bestätigung der Änderung nur auf einen Link klicken. Hier ist die Eingabe eines Passwortes nicht mehr notwendig – war jedenfalls bei mir nicht notwendig. Ich war dann ohne erneute Passworteingabe in meinen Benutzerdaten…

moin,
funktioniert das nicht nur solange man noch bei osm eingeloggt ist? Also nicht von fremden Rechnern?

Gruß OPerivar

Edit: funktioniert auch wenn man an einem Rechner ausgeloggt war!

_i · 2010-08-06T06:52:13.000Z

Ich würde den Admins direkt bescheid geben:
http://wiki.openstreetmap.org/wiki/System_Administrators

just2b · 2010-08-09T19:43:20.000Z

und für das nächste mal: Security Issues nicht unbedingt gleich groß öffentlich erklären sondern lieber nur einer geschlossenen gesellschaft

errt · 2010-08-09T20:28:01.000Z

Jaja, und dann sind wir bei der NDA-Praxis, die schon sonst überall verhindert, dass Lücken geschlossen werden. Zumal das keine gravierende Lücke ist, denn man muss ja erstmal seine Adresse falsch eingeben und dann noch das Pech haben, dass die Mail bei jemandem landet, der diese Lücke ausnutzt - und dass derjenige, der die Mail erhält, sie ausnutzen kann, wird demjenigen auch sofort klar sein ohne diesen Thread. Insofern: Einfach die richtigen Stellen noch informieren, dann wird sicherlich etwas an diesem Prozess geändert.

just2b · 2010-08-09T20:29:55.000Z

errt:

Jaja, und dann sind wir bei der NDA-Praxis, die schon sonst überall verhindert, dass Lücken geschlossen werden.

Kann ich nicht bestätigen. Ich bin bei einer Opensource-Software im Security-Team und es hat sich absolut bewährt. Nach dem Schließen wird natürlich informiert.

Weide · 2010-08-11T05:23:39.000Z

just2b:

Nach dem Schließen wird natürlich informiert.

… oder wenn nichts passiert

MfG
Weide