„Passwort“ Folge 40: Probleme mit Widerrufen, Verbindungsabbrüchen und anderem

Es bleibt spannend in der IT-Sicherheitswelt – und abwechslungsreich, wie Sylvester und Christopher feststellen. Erneut haben sie so viele Themen auf dem Zettel, dass unmöglich alle in eine Folge passen. In der vierzigsten Ausgabe von „Passwort“ sprechen sie nicht nur wie üblich ausgiebig über verschiedene Aspekte der WebPKI, sondern schauen sich auch zwei interessante Sicherheitsfehler im Detail an.

Feedback und Ergänzungen zu vergangenen Folgen kommen zu verschiedenen Themen: Angesichts der schlampig gestalteten und sicherheitstechnisch sehr fragwürdigen Marketing-Mail einer großen CA rauft sich Sylvester am Mikrofon das Haupthaar und bittet die Hörer um Mithilfe: Wer E-Mails von Dienstleistern, Online-Shops oder digitalen Plattformen erhalten hat, die von Phishing nicht zu unterscheiden sind, melde sich gern mit Beweisfoto per E-Mail. Sylvester sammelt für einen Vortrag im Spätherbst und möchte möglichst viele gruselige Beispiele sammeln.

Viel Web und viel PKI

In einem Gutteil der Folge geht es ums Web und die zugehörige PKI: So ergänzen die Podcaster Informationen und Diskussionen um Let’s Encrypt und Certificate Transparency und führen erstmals ein kleines Theaterstück auf. Christopher (in seiner Rolle als Microsoft-CA) und Sylvester (das Chrome-Root-Programm verkörpernd) interpretieren einen Disput zwischen den beiden Akteuren, den diese coram publico ausgetragen hatten. Grund des Streits: Microsofts Zögern, über 70 Millionen TLS-Zertifikate wegen eines Schreibfehlers in den Zertifikatsrichtlinien zurückzuziehen.

Nur durch massiven Druck der Konkurrenz aus Mountain View hatte Microsoft sich überzeugen lassen, das für alle Zertifizierungsstellen geltende Regelwerk einzuhalten. Zwar hatte Microsoft erst in der vergangenen Folge reichlich Kritik der Hosts abbekommen, aber auch dem Vorgehen des Softwareriesen im aktuellen Fall können sie wenig Positives abgewinnen. Denn Microsofts merkliche Unlust rührte offenbar auch daher, dass die CA mit den Widerrufen technisch überfordert war – ein böses Omen.

Gewiss, eine derart gewaltige Zertifikatszahl zurückrufen und teilweise neu ausstellen zu müssen, ist kein Pappenstiel. Doch „pacta sunt servanda“, musste auch Microsoft einsehen und widerruft nun so schnell langsam, wie es ihr aktuelles Set-up erlaubt. In Zukunft soll das besser werden, nicht nur bei Microsoft, denn wer im Fall eines eher unbedeutenden Dokumentationsfehlers nicht widerrufen kann, kann es auch bei einer massiven Sicherheitslücke nicht. Jetzt muss jede CA bis zum 1. Dezember 2025 einen Plan für Fälle von „Mass Revocation“, also massenhaftem Zertifikatswiderruf, erarbeiten und veröffentlichen. So profitiert immerhin das gesamte Ökosystem von dem Vorfall.

Auch die „MadeYouReset“-Lücke greift das Web an, allerdings nicht seine Verschlüsselung, sondern seine Leistungsfähigkeit. Israelische Forscher haben eine Lücke in der Zustandsmaschine des Protokolls HTTP/2 gefunden und können diese unter bestimmten Bedingungen für einen „Denial of Service“-Angriff nutzen. Doch das Internet wird deswegen nicht abbrennen, beruhigt Christopher: Viele populäre Webserver sind offenbar gar nicht von „MadeYouReset“ betroffen. Interessant ist MadeYouReset dennoch.

Schwatzhafte Coredumps

Einen Fehler im „Coredump“-Handler von systemd erläutert Sylvester ausführlich. An CVE-2025-4398 interessiert die beiden Hosts besonders, wie verschiedene Forscher den zunächst als schwer ausnutzbar geltenden Fehler doch zuverlässig reproduzieren konnten und darüber recht zuverlässig an geschützte Informationen aus dem Speicher von Linuxprozessen gelangten. Denn die plauderte systemd-coredump aus, wenn der Angreifer den Handler mit geschickter Prozessmanipulation aufs Glatteis führte. Und je leichter eine Lücke auszunutzen ist, desto gefährlicher wird sie – daher stieg der CVSS-Wert von 4,7 auf 7,1.

Die neueste Folge von „Passwort – der heise security Podcast“ steht seit Mittwochmorgen auf allen Podcast-Plattformen zum Anhören bereit.

(cku)