Rene Rehme

Seit gefühlt ein paar Monaten funktioniert "view-source:https://..." in Google Chrome Android nicht mehr. Man wird immer auf die Google Suche weitergeleitet. Gibt's da ne Einstellung?

Welchen mobile Browser verwendet ihr? Vermisse zwei Funktionalitäten:
- "view-source:"
- devtools (Network tab)

Hm, dann habe ich die Definition falsch gedeutet. Auf der Seite steht: "KRITIS-Anlagen: Anlagen sind gemäß § 1 Absatz 1 Nummer 1 BSI-KritisV a) [...] b) [...] oder c) Software und IT-Dienste"

Mich würde einfach interessieren, welche Software und IT-Dienste für die Erbringung einer kritischen Dienstleistung notwendig sind bzw. was vom Bund erfasst ist.

Schade, dass die Listen registrierter Betreiber und Anlagen nicht öffentlich sind.

Ich finde das mit diesem Kontext irgendwie lustig. Wenn diese "Password Policy" allgemein der Standard ist, sehe ich schwarz 😅

💯. Zumindest wäre IT-Sec als Lehrplaninhalt für das Fach Informatik wünschenswert.

„In den letzten 10-15 Jahren hat Ihnen [...] jeder [...] gesagt, dass es wichtig ist, dass Ihre Kinder Informatik lernen, dass jeder Programmieren lernen sollte. Tatsächlich ist fast genau das Gegenteil der Fall.“

— Jen-Hsun Huang (Nvidia CEO)

Unternehmer und Manager. Finde den Fehler.

🚨 Ich konnte mehrere Sicherheitslücken in ILIAS 7, 8 und 9 (Beta) identifizieren. Cross Site Scripting (XSS), Local File Inclusion (LFI), Remote Code Execution (RCE), und Arbitrary File Deletion.

🛡️ Update now!
✅ Fixed Versions: 8.9, 7.28
📄 Details:
rehmeinfosec.de/labor

Ich nehme die letzten Wochen und Monate vermehrt Hacker-Angriffe auf Krankenhäuser war. Wie tief muss man sinken ein Krankenhaus anzugreifen. Zutiefst menschenverachtend.

Zudem überlegen sich ethische Hacker nun zwei Mal ob sie eine Sicherheitslücke melden sollen oder aus Selbstschutz einfach offen lassen. Zum Nachteil aller Personen deren Daten möglicherweise betroffen sind.

Willst du einem Unternehmen z.B. Fahrlässigkeit nachweisen, kannst du das ohne Einsicht der Daten nicht belegen. Auch wenn du gar nicht vor hast Daten abzuziehen oder anderen scheiß damit machen willst. Ein Unternehmen kann jetzt einfach behaupten, dass die phpmyadmin Instanz leer war.

Das Amtsgericht Jülich sieht die Nutzung von Klartext-Passwörtern als Hacken an. Solltest du also gefundene Klartextpasswörter z.B. in einer öffentlich erreichbaren phpmyadmin Instanz verwenden, bist du kriminell.

Das ist so dermaßen dumm, da das weitreichende negative Folgen haben wird.

Falls sich jemand wundert, warum keine #1SecFailEverySecondDay Postings von mir kommen: Aufgrund einer aktuellen (sehr fragwürdigen) Gerichtsentscheidung, habe ich weitere Veröffentlichungen vorerst eingestellt. Mit jedem weiteren Post laufe ich Gefahr Probleme mit dem Hackerparagraphen zu bekommen.

#1SecFailEverySecondDay Ich veröffentliche unter dem Hashtag #1SecFailEverySecondDay bis zum Jahr 2025 jeden zweiten Tag eine Sicherheitslücke, die ich gemeldet habe.

#1SecFailEverySecondDay Tag 11: Gemeinde Roggenburg

Hunt: ganz aktuell in Bezug auf den Ransomware Vorfall im Landkreis Neu-Ulm.

renerehme.dev/blog/1-sec-f...

#1SecFailEverySecondDay Ich veröffentliche unter dem Hashtag #1SecFailEverySecondDay bis zum Jahr 2025 jeden zweiten Tag eine Sicherheitslücke, die ich gemeldet habe.

#1SecFailEverySecondDay Tag 9: Küche&Co GmbH - a member of the otto group

renerehme.dev/blog/1-sec-f...

#1SecFailEverySecondDay Ich veröffentliche unter dem Hashtag #1SecFailEverySecondDay bis zum Jahr 2025 jeden zweiten Tag eine Sicherheitslücke, die ich gemeldet habe.

#1SecFailEverySecondDay Tag 7: EDIT.org

renerehme.dev/blog/1-sec-f...

#1SecFailEverySecondDay Tag 5: Rheinland-Pfalz

renerehme.dev/blog/1-sec-f...

Tag 3: IONOS SE (1und1)

renerehme.dev/blog/1-sec-f...

#1SecFailEverySecondDay

Tag 1: Bundesdruckerei

renerehme.dev/blog/1-sec-f...

Ich habe mir was nettes für das Jahr 2024 ausgedacht. Ich veröffentliche unter dem Hashtag #1SecFailEverySecondDay jeden zweiten Tag eine Sicherheitslücke / Schwachstelle, die ich in meiner Freizeit an Organisationen gemeldet habe.

renerehme.dev/blog/1-sec-f...

So, ich veröffentliche CVE-2023-50982 (Kritisch 🔴).

Software: Stud.IP, eine eLearning Plattform. Vergleichbar mit moodle oder ILIAS.

rehmeinfosec.de/labor/cve-20...

Alternativ dazu: www.xpdfreader.com/about.html

Die einfachste und zuverlässigste Möglichkeit die ich kenne: pdfminer-docs.readthedocs.io/pdfminer_ind...

Nachteil für normale Nutzer: Es gibt keine GUI. Läuft über Command Line Interface.

Es ist so schade, dass der Verkauf physikalischer Datenträger bei Musik immer weiter schrumpft. Ich stream zwar auch hauptsächlich digital, dennoch gibt es Bands bei denen ich immer die CD/Vinyl kaufe. Man nimmt das Werk irgendwie anders bzw. Intensiver war.

Achja, falls jemand Software kennt, die großflächig von Kommunen verwendet werden, gerne einfach via PM zukommen lassen. Bevorzugt Webapplikationen, Ratsinformations- oder Dokumentenmanagementsysteme, Anbindungen, sonstiges. Völlig egal.

Es hat sich nichts verändert. Ich habe mir für das nächste Jahr vorgenommen eine weitere große Recherche zur IT Sicherheit von Kommunen und Länder vorzunehmen. Diesmal werde ich noch genauer nachschauen. Politisch passiert einfach viel zu wenig. Datenabfluss wird zur Normalität.

Gefühlt jeden Tag wird eine Kommune Opfer von Ransomware. Ich halte es für einem großen Fehler Kommunen von NIS-2 auszunehmen. Mich regt das tatsächlich sehr auf, da sensible Daten von Menschen betroffen sind. Unsere Daten. War da nicht noch sowas wie das OZG? Mehr Daten! Geil.

ℹ️ Roundcube 1.6.5 & 1.5.6 released!
github.com/roundcube/ro...

Danke, ich hatte kein Zugriff, da mein VPN geblockt wurde.

Dennoch bedeutet die Mail, dass Secrets (PINs, Passwörter) hier in Klartext vorliegen und demnach auch so gespeichert sind. Ich hätte mir das zu gerne genauer angeschaut.