Microsoft: Ermöglichte ein Programmierfehler SQL-Injection-Attacken?
Microsoft setzt sich gegen den Verdacht zur Wehr, Fehler in seinem SQL-Server und Internet Information Server (IIS) hätten eine neue Welle von Cyber-Attacken ermöglicht.
- Microsoft: Ermöglichte ein Programmierfehler SQL-Injection-Attacken?
- Schlampige Programmierung als Einfallstor
Das U.S. CERT (Computer Emergency Readiness Team) hat Ende vergangener Woche eine Warnung herausgegeben, nachdem es Cyber-Kriminellen gelungen war, eine große Zahl von Web-Seiten renommierter Firmen und öffentlicher Einrichtungen über eine sogenannte SQL-Injection zu kompromittieren. Mittels SQL-Injection können Angreifer eine Anwendungsdatenbank zu bringen, eigene Befehle auszuführen. Die Web-Seiten wurden mit Javascript-Code infiziert, der wiederum bekannte Schwachstellen in Programmen wie Web-Browsern oder Multimedia-Software ausnutzt. Wer von einem nicht gepatchten Rechner aus eine solche Seite aufruft, läuft Gefahr, Schadsoftware auf sein System herunterzuladen.
Neben den Web-Seiten der Vereinten Nationen sind auch die der amerikanischen Heimatschutzbehörde (U. S. Department of Homeland Security) betroffen. Die Sicherheitsfirma F-Secure gab am vergangenen Freitag die Zahl der infizierten Sites mit 510.000 an. Das Internet Storm Center des SANS Institute dagegen spricht von gerade einmal 10.000 Servern, die befallen worden seien. Das kann allerdings auf erste Gegenmaßnahmen zurückzuführen sein. So nahm Google etliche der infizierten Seiten von seinem Index und erschwerte damit den Zugriff darauf.
