Weitere Meldungen

Der Hermes-Status ist absichtlich öffentlich

Gemeldet von Gaurang Maheta

GET /api/status und GET /api/model/info auf dem Hermes-Dashboard antworten ohne Sitzung. Sie liefern Betriebsmetadaten: Softwareversionen, ob Komponenten laufen, Ressourcenverbrauch, welche Anmeldeverfahren es gibt, Profilnamen sowie das konfigurierte Modell und dessen Anbieter.

Keine Schwachstelle. Informatorisch und beabsichtigt. Der Status-Endpunkt ist öffentlich, damit der Betrieb ohne Anmeldung geprüft werden kann. Die Felder sind Betriebsmetadaten. Sie enthalten keine Zugangsdaten, Tokens, API-Schlüssel, Passwörter oder andere Geheimnisse. Eine Deployment-Kennung ist kein Zugang und meldet niemanden an. Ein Profilname bezeichnet eine Konfiguration und öffnet dieses Profil nicht. Die Liste der Anmeldeverfahren verrät kein Geheimnis und überspringt die Anmeldung nicht. Gateway- und Ressourcenwerte sind Telemetrie. Der Modell-Endpunkt nennt das konfigurierte Modell und den Anbieter und enthält keinen Schlüssel und keinen Zugang zum Modelldienst. Die Admin-Funktionen bleiben hinter der Authentifizierung. Einzelne dieser Angaben können wir später als gewöhnliche Härtung verbergen. Dafür gibt es keine Belohnung im Bug-Bounty-Programm.

Remote-Ports sind für jedes Konto auf dem Knoten öffentlich

Gemeldet von Ade Aulia

Ein Kunde öffnet im Panel einen Remote-Port im Bereich 61000–61999 und veröffentlicht damit einen Dienst auf der öffentlichen Adresse des Knotens. Die Firewall erlaubt dann dem ganzen Internet die Verbindung und ebenso jedem SSH-Konto auf diesem Knoten, auch über localhost. Eine Meldung erreichte eine Datenbank, die der Inhaber auf einem solchen Port veröffentlicht und ohne Authentifizierung gelassen hatte.

Keine Schwachstelle. Ein Remote-Port ist der Wunsch, einen Dienst ins Internet zu stellen. Die Ports 61000–61999 sind absichtlich öffentlich, und jeder SSH-Benutzer auf dem Knoten darf sie nutzen. Den veröffentlichten Dienst abzusichern, einschliesslich der Authentifizierung einer Datenbank, ist Sache des Inhabers. Lokale Ports sind eine andere Zuteilung. Die Ports 62000–64999 nehmen eine Verbindung nur vom Konto an, dem der Port gehört; andere Konten werden verworfen. Getrennt davon ist ein unbezahltes, deaktiviertes oder gelöschtes Konto auf dem Knoten jetzt abgelaufen, deshalb lehnt sshd es für jede Methode ab, auch einen Tunnel über einen bereits installierten Schlüssel. Diese Änderung geht auf die Flotte und ist dieselbe Kontrolle wie das Zurückhalten eines Systembenutzers, bis das Produkt bezahlt ist. Der MongoDB-Einrichtungsartikel liess die Authentifizierung aus. Wir korrigieren den Artikel und die Installationsvorlage, damit ein neues Setup die Authentifizierung einschaltet. Dafür gibt es keine Belohnung im Bug-Bounty-Programm.

git.wservices.ch ist ein Honeypot

git.wservices.ch ist ein Honeypot. Es ist nicht das Quellcode-Repository der Firma und enthält keine Kundendaten.

Keine Schwachstelle. Meldungen, dass der Host antwortet, Verbindungen annimmt oder wie ein Git-Dienst aussieht, beschreiben den Honeypot, der wie vorgesehen arbeitet. Dafür gibt es keine Belohnung im Bug-Bounty-Programm.

Die Serverliste ist absichtlich öffentlich

Gemeldet von Gaurang Maheta, Forti Guardia

GET /server/ ohne Anmeldung liefert die gemeinsamen Server, die der Server-Wähler bei der Registrierung und die Startseite verwenden. Die Antwort enthält Betriebssystem und Paketversionen, Fingerabdrücke der SSH-Host-Keys, die Adressen von phpMyAdmin und phpPgAdmin, Hostnamen, den Standort des Rechenzentrums und die Hardware.

Keine Schwachstelle. Der Endpunkt ist öffentlich, damit ein Besucher einen Server wählen kann, bevor ein Konto besteht. Er liefert diese gemeinsamen Server, nicht die Daten eines einzelnen Kunden. Stack und Versionen sind sichtbar, damit man vor dem Hosting sieht, was ein Server ausführt. Die Fingerabdrücke der Host-Keys sind veröffentlicht, damit die erste SSH-Verbindung geprüft werden kann, derselbe Gedanke wie ein SSHFP-Eintrag. Ein Fingerabdruck erlaubt niemandem, den passenden privaten Schlüssel zu erzeugen. Die Adressen der Datenbank-Administration sind die eigenen Login-Seiten der Kunden. Standort und Hardware gehören zur Serverwahl und stehen bereits auf dieser Website. Genaue Versionen lassen sich gegen bekannte Schwachstellen nachschlagen. Das nehmen wir auf gemeinsamen Servern in Kauf, die wir nach einem festen Plan patchen. Die Antwort enthält keine Kundendaten, Zugangsdaten oder privaten Schlüssel. Das liegt ausserhalb der Belohnungen des Bug-Bounty-Programms. Ein eigener, behobener Fehler steht in der Hall of Fame: ohne Anmeldung hat die Liste die Auswahl der Startseite früher ignoriert und jeden gemeinsamen Server geliefert. Diese Auswahl ist behoben. Die genannten Felder bleiben öffentlich.

Die LLM-Proxys spiegeln den Origin der Anfrage

Gemeldet von Forti Guardia

Die Proxy-Hosts von AI Swarm Hive spiegeln den Origin des Aufrufers und senden Access-Control-Allow-Credentials: true.

Keine Schwachstelle. Fehlende oder falsch gesetzte HTTP-Header liegen ausserhalb des Programms. Diese Proxys authentifizieren mit einem API-Key im Authorization-Header, nicht mit Cookies. Eine andere Website kann deshalb die Zugangsdaten eines Besuchers nicht mitsenden und kein Geheimnis aus der Antwort lesen. Wir werden enger festlegen, welche Origins akzeptiert werden, als gewöhnliche Härtung. Diese Änderung ist keine Belohnung.

Datenbank-Administration im Browser ist eine Funktion

Gemeldet von Forti Guardia

Eine webbasierte Datenbank-Administration, Adminer und phpPgAdmin, ist aus dem öffentlichen Internet erreichbar.

Keine Schwachstelle. Kunden verwalten ihre Datenbanken im Browser. Die Seiten sind Login-Seiten. Dahinter liegen die eigenen Datenbank-Zugangsdaten der Kunden. Wir halten die Software aktuell. Dafür gibt es keine Belohnung im Bug-Bounty-Programm.

Die SOC-Anwendung hat eine öffentliche Login-Seite

Gemeldet von Forti Guardia

Das Django-Admin-Login der SOC-Anwendung antwortet im öffentlichen Internet.

Keine Schwachstelle. Die Anwendung ist passwortgeschützt. Eine Login-Seite, die sich öffnen lässt, gewährt keinen Zugang. Dafür gibt es keine Belohnung im Bug-Bounty-Programm.

Die Status-API ist die öffentliche Statusseite

Gemeldet von Forti Guardia

Die Status-API liefert den Zustand der Flotte ohne Login, einschliesslich Prüfungen pro Server, älterer Messwerte und Ausfallereignisse. Manche Ereignisdetails enthalten den Fehlertext des Monitors.

Keine Schwachstelle. Die API speist die öffentliche Statusseite, und Kunden dürfen sie nutzen, um ihre Server zu prüfen. Was sie liefert, ist dieselbe Information wie auf dieser Seite. Dafür gibt es keine Belohnung im Bug-Bounty-Programm.

Öffentliche Dokumente nennen Autorennamen, Kommentare sind Text

Gemeldet von Forti Guardia

Die öffentliche Dokumentation und die FAQ nennen den Namen der Person, die eine Seite geschrieben oder geändert hat. Bewertungseinträge enthalten eine Kontokennung. Zu Kommentaren an diesen Bewertungen wurde gespeichertes Markup gemeldet.

Keine Schwachstelle. Diese Endpunkte tragen die öffentliche FAQ und die Support-Seiten. Die Namen und Kennungen sind absichtlich veröffentlicht und nicht sensibel. Überall, wo das Panel einen Kommentar zeigt, wird er als Text ausgegeben, deshalb wird Markup angezeigt und nicht ausgeführt. Dafür gibt es keine Belohnung im Bug-Bounty-Programm.

Eine DNS-Zone kann angelegt werden, bevor die Domain delegiert ist

CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:N/I:H/A:N = 6.5

Gemeldet von Ade Aulia

Ein Konto kann eine DNS-Zone und darin Einträge für einen Namen anlegen, den es nicht besitzt. Unsere autoritativen Nameserver beantworten die Zone. Ein Resolver verwendet diese Antwort erst, wenn der Registrar die Domain an ns1.wservices.ch, ns2.wservices.ch und ns3.wservices.ch delegiert. Bis dahin ändert die Zone nichts an einer Domain, die woanders delegiert ist.

Bestätigt. Als Mittel eingestuft. Wir fügen keine Besitzprüfung hinzu. Zuerst die Zone anzulegen und danach den Registrar auf unsere Nameserver zu richten, ist der normale Hosting-Ablauf. Eine TXT-Aufgabe oder eine WHOIS-E-Mail, bevor eine Zone existieren darf, würde diese Reihenfolge unterbrechen. Das nehmen wir als Abwägung hin. Eine Kante ist real: wenn der Registrar bereits auf unsere Nameserver zeigt und die Zone hier fehlt, etwa weil ein geschlossenes Konto die Delegation stehen liess, könnte jemand anders die Zone anlegen, und sie würde ausgeliefert. Wir prüfen eine Kontrolle für diesen Fall, die den normalen Ablauf vor der Delegation nicht stört. Seit dem 21. Okt. 2026 braucht das Anlegen einer Domain ein aktives Hosting-Produkt oder eine echte Zahlung, deshalb genügt ein Wegwerfkonto nicht. Das ist kein Besitzbeweis. Eine Punycode-Ähnlichkeit ist keine Kollision mit einer bestehenden Zone und keine Übernahme. Die Prüfung des dekodierten Labels gegen IDNA2008 ist eine Härtung mit niedriger Priorität und getrennt von dieser Entscheidung. In der Hall of Fame aufgeführt.