gulli.com half RTL bei der Schließung von kritischen Sicherheitslücken (Update)

RTL gulli protected. Grafik von L3w3x

Mitte Februar wendeten wir uns mehrfach an die Betreiber von www.rtl.de, wo der Hacker Padrino mehrere Schwachstellen entdeckt und uns diese mitgeteilt hatte. Es handelte sich um eine SQL-Injection und gleich zweimal um Cross-Site-Scripting. Die Meldung der Schwachstellen gestaltete sich schwierig. Auch die Kommunikation mit RTL online wurde von den Kölnern nach einer einzigen E-Mail eingestellt.

Wer von diesem Bug wusste, konnte sich mithilfe einer erfolgreichen SQL-Injection Zugriff auf die Datenbank der Website www.rtl.de verschaffen, dort beliebige SQL-Befehle ausführen lassen und somit Einträge aus deren Datenbank lesen, hinzufügen oder verändern. Per Cross-Site-Scripting (XSS) in zwei Ausführungen konnte man das Session-Cookie einer beliebigen Person stehlen, und sich als diese Person einloggen. Am 13. und am 14. Februar wendeten wir uns an die Betreiber des Fernsehsenders RTL. Ein Kontaktformular für sicherheitsrelevante Schwachstellen suchten wir auf der Website leider vergebens. Auf unsere zwei Mitteilungen über das Kontaktformular haben wir keine Antwort bekommen. Am Montag, den 14. Februar erfolgte deswegen ein Anruf beim Kölner TV-Sender. Die Dame an der Zentrale wusste nichts von einer IT-Abteilung oder einer Firma, die die Webseiten des Konzerns unterhalten könnte. Mit den Begriffen Schwachstelle, Bug oder ähnliches konnte sie nichts anfangen. Dass man den Inhalt ihrer Seite löschen und alle intimen Kundendaten von dort gewinnen könnte, verstand sie dann aber. Wir bekamen eine E-Mail-Adresse, die wir sofort kontaktierten. Am 15. Februar erhielten wir folgende Antwort:

"RTL interactive GmbH
RTL online / User Services
Kontakt: http://www.rtl.de

Sehr geehrter Herr Sobiraj,

wir danken Ihnen sehr für Ihren Hinweis, den wir umgehend an unsere Technik geleitet haben.

Mit freundlichen Grüßen aus Köln,
Ihr Team vom User Service"

Jeder weitere Kontaktversuch unsererseits wurde nicht beantwortet. Einen Tag später waren alle uns bekannten Bugs dicht. Sich bei uns - und sei es auch nur per E-Mail - zu bedanken, kam offenbar nicht in Frage. Da verlief die Zusammenarbeit mit den Firmen RapidShare, PayPal und ICQ deutlich angenehmer. Ganz ehrlich: Niemand erwartet allen Ernstes einen Kniefall. Aber bei einem solchen Verhalten muss man sich nicht weiter wundern, wenn immer mehr Hacker dazu übergehen, sachdienliche Hinweise schlichtweg für sich zu behalten.

Ein herzliches Dankeschön an dieser Stelle an Padrino, der uns mit zahlreichen Tipps versorgte und auch an die Grafikerin L3w3x, die Artesias Grafik für uns umgestaltet hat.

Update:

Vor wenigen Minuten erreichte uns die Mitteilung, man habe unsere News mit "Betroffenheit" vernommen. Das Team vom User Service hat unseren Hinweis im Februar an die Technik geleitet und man ging davon aus, dass wir von dort ein technisches Feedback bekommen würden. Man teilt uns mit, dieses Verhalten wäre sehr bedauerlich und würde nicht ihren Gepflogenheiten entsprechen.

Lars Sobiraj am Sonntag, 27.03.2011 20:21 Uhr

tags Tags: rtl rtl interactive

Weitere interessante News

54 Reaktionen zu dieser Nachricht

Dieter85 am 30.03.2011 19:03:25

Meine Fresse, manche Leute tun ja so als ob Gulli Hitler dabei geholfen hat Gaskammern zu bauen :rolleyes: ...
copy_x am 30.03.2011 18:57:39

Diesen Dreckssender sollte man HACKEN und denen nicht noch helfen. :mad: ...
musv am 30.03.2011 10:01:43

Ich hab mal irgendwo was über die Psychologie des "Unterschichtenfernsehens" gelesen. Der Konsens war: Es gibt den Zuschauern ein Zufriedenheitsgefühl, zu wissen, dass es Leute gibt, denen es noch dreckiger geht. Es wertet praktisch das eigene beschissene Leben etwas auf. Das Ganze ist zwar zieml ...
Ghandy am 30.03.2011 09:02:48

Ich hatte auch für 4 Jahre keinen Fernseher und hatte nicht den Eindruck, dass ich etwas verpasst hätte. Was das Programm von RTL betrifft: Wenn sich die Reality-Serien aus der Unterschicht niemand anschauen würde, hätten sie sie längst eingestellt. Viele können sich also auch an ihre eigene N ...
LightColour am 29.03.2011 17:52:35

So interessant der Artikel auch ist und so sehr mir ein Großteil des Programms und Internetauftritts von Sendern wie RTL am Anus vorbei geht - was einen Teil der Kommentare betrifft: SAGT MAL - HABT IHR SIE NOCH ALLE? ..viel Text... Ich den ...

weitere Kommentare lesen Nachricht kommentieren

News [Kurioses]

Apple filterte den Begriff "Jailbreak" im iTunes Store

Lars Sobiraj am 20.05.2012, 16:54 Uhr

Im US-amerikanischen iTunes Store wurden statt dem Begriff "Jailbreak" lediglich Sternchen zwischen dem Anfangs- und Endbuchstaben angezeigt. Davon waren letztlich alle Kategorien betroffen. So wurden neben Apps auch Klingeltöne, Podcasts, Musikstücke, ganze Alben und eBooks zensiert angezeigt. Laut den Untersuchungen von Shoutpedia waren mehrere Monate lang 95% aller Begriffe davon betroffen.

mehr mehr lesen...