Inhalt und Formulierungen in reiner Info-Mail bezüglich vorhandener Sicherheitslücke und vorherigem XML-Dateiscan

    Da mein Ursprungsthread wieder mal gekappert wurde für durchaus gute und interresante Nebenthemen fange ich hier lieber neu an.

    Nachfolgend im Spoiler der Entwurf einer Warn-Mail von Pascal( kitepascal)

    Spoiler anzeigen

    Sicherheitshinweis zu example.org – SP Page Builder (6.6.0)

    Guten Tag,

    vorweg, weil das heute leider dazugehört: Diese E-Mail ist weder Werbung noch Spam, und ich möchte Ihnen nichts verkaufen. Es ist ein reiner, kostenloser Sicherheitshinweis zu Ihrer Website example.org.

    Mein Name ist Pascal Lohmann, ich bin auf die Absicherung von Joomla-Websites spezialisiert. Bei einem passiven Check öffentlich erreichbarer Informationen - also ganz ohne Zugriff auf Ihre Website - ist mir aufgefallen, dass auf example.org der SP Page Builder in der Version 6.6.0 eingesetzt wird.

    Für die SP-Page-Builder-Versionen 6.0.0 bis einschließlich 6.6.1 wurde eine kritische Sicherheitslücke bekannt, über die Angreifer unter Umständen ohne Login Schadcode einschleusen können. Erfahrungsgemäß werden solche Lücken sehr schnell automatisiert gesucht.

    Die bei Ihnen eingesetzte Version können Sie selbst über diese öffentlich abrufbare Datei nachvollziehen:

    https://example.org/modules/mod_sp%E2%80%A6pagebuilder.xml

    Die Hintergründe und die sichere Update-Version (6.6.2 oder neuer) habe ich hier neutral zusammengefasst:

    https://website-bereinigung.de/blog/sp-page-b…tsluecke-joomla

    Was ich Ihnen ans Herz legen möchte: Falls Sie Ihre Website von einer Agentur oder einem Dienstleister betreuen lassen, leiten Sie diese Mail einfach kurz weiter. Das Update ist mit wenigen Klicks erledigt und die Lücke damit geschlossen. Es besteht also kein Grund zur Sorge - gerade weil die Lücke jetzt frühzeitig erkannt und zeitnah geschlossen werden kann, bevor überhaupt etwas passiert.

    Ein ergänzender, kostenloser Tipp - unabhängig von dieser konkreten Lücke: Die Angriffe auf Open-Source-Software wie Joomla und WordPress nehmen spürbar zu. Wer hier proaktiv vorbeugt, ist klar im Vorteil. Ein kostenloses Werkzeug dafür ist HTProtect, das das Joomla-Basisverzeichnis per .htaccess absichert und über einen Live-Feed laufend gegen neue Angriffsmuster nachzieht. Beschreibung und Download:

    https://website-bereinigung.de/blog/joomla-ht…chern-htprotect

    Und ganz grundsätzlich, ohne erhobenen Zeigefinger: Eine CMS-Website ist nie "fertig". Joomla und seine Erweiterungen werden laufend weiterentwickelt - und sind genau deshalb regelmäßig ein Ziel. Eine kontinuierliche Betreuung mit zeitnahen Updates ist der wirksamste Schutz und erspart im Ernstfall sehr viel Aufwand.

    Falls Sie das Thema ohnehin selbst oder über Ihre Agentur betreuen, verstehen Sie diese Mail einfach als freundlichen Hinweis - eine Antwort ist nicht nötig.

    Viele Grüße

    Pascal Lohmann

    website-bereinigung.de

    Plitscharder Str. 62

    52134 Herzogenrath (Aachen


    Sie haben das bereits im Griff oder kein Interesse? Kein Problem – hier abmelden.

    aus #8 dort: Abmahnung wegen Mail bezüglich vorhandener Sicherheitslücke und vorherigem XML-Dateiscan


    Zitat von webbie07

    Egal, wie es formuliert ist. Rechtlich ist und bleibt es dünnes bis gar kein Eis...

    Ich glaube das man es durchaus korrekt formulieren kann. Es ist aber sicherlich nicht einfach.

    Problematisch sind meiner Meinung nach insbesondere die folgenden Inhalte:

    Da man erhebliche Teile diese Inhalte meiner Meinung nach auch als Werbung auslegen kann. Dies gilt wohl auch für eine Mail-Absender-Adresse mit "@website-bereinigung.de"

    Da die obigen problematischen Inhalte wohl bereits erkannt wurden ist deshalb wohl auch https://htprotect.org/ erstellt worden.

    Problematisch könnte es meiner Meinung nach auch sein wenn in der Mail z.B. ein Link zu htprotect.org vorhanden ist, weil auf htprotect.org eine Joomla-Erweiterung(fast gleichnamig) erläutert und somit auch beworben wird. Ob es sich um eine kostenlose Erweiterung handel ist diesbezüglich wohl auch nicht relevant meiner Meinung nach.

    Da wäre dann wohl eine entsprechende Anwaltsprüfung notwendig.

    Ich habe vorhin rund 3.000 Mails an Helix3-Defacement-Kandidaten (D-A-CH) versendet, nachdem mir mehrere entsprechende Fälle vorlagen.

    Diesmal kürzer gehalten und inklusive einer Abhilfe-Anleitung (Template-Optionen wiederherstellen), damit sich betroffene Empfänger keinen Wolf suchen.

    Zitat von kitepascal

    Vielleicht findet sich ja jemand, der hier ehrenamtlich kurz beraten mag.

    Eine anwaltliche Prüfung kann ich mir derzeit aus privaten Gründen leider nicht leisten, deshalb bin ich über jede Einschätzung aus der Community dankbar.

    Ehrenamtliche Vermutung: Rechtswidrig, abmahnfähig, mgl. Kontakt mit dem StGB (Ausspähen von Daten). Dazu kommen noch wettbewerbsrechtliche Dinge.

    Ohne Scheiß:

    OHNE vorherige anwaltliche Beratung hätte ich so eine Nummer im DACH Raum nicht gestartet. Wenn alle ruhig sind ... alles fein ... aber häufig gibt immer einen, der dir ans Bein pinkeln will und das zieht dir dann mglw. die Hose aus. oops

    Zitat von drmenzelit

    Ich würde das ganze von einem Anwalt prüfen lassen. Bin ganz bei webbie07 , sehr dünnes Eis ...

    Es ist keine reine Infomail, es enthält in meiner Augen Werbung.

    Hier Hintergrundinfo: https://www.wuest-weininger.de/kanzlei-news/r…en-kaltakquise/

    vor allem Punkt 5 finde ich wichtig, sogar bei bestehenden Kunden / Kontakten ist es schwer

    Gewichtiger dürfte ist das aktive Scannen der Server sein. Es wird im StGB i.d.R. nicht zwischen "gutes" und "böses" Scannen unterschieden. Das könnte ihm den Garaus machen, wenn der richtige Jurist da aufsattelt.

    Pascal, besorge Dir einfach ne wirklich gute Rechtsschutzversicherung, gestalte die Mails so, das keine Werbung unterstellt werden kann. Ich halte solche Benachrichtigungen für absolut sinnvoll und das Scannen öffentlich einsehbarer Daten, wie z.B. die XML-Dateien betrachte ich nicht als "ausspähen". Der BSI macht das jeden Tag und auf Heise gibt es laufend Meldungen das soundsoviele hackbare Dienste in DE gefunden wurden - wie kommen die drauf - ganz einfach - durch entsprechende Suchanfragen. Es gibt ja sogar Suchmaschinen genau dafür!

    Der einzig kritische Punkt ist, wenn die Mails als Werbung eingestuft werden können. Alles andere schmettert jeder gute Anwalt locker ab.

    Das Ganze ist nicht so einfach Pascal. In diesem Behördendschungel kann nur eine kostenpflichtige Rechtsberatung von Fachanwalt Klarheit bringen, wobei dies nie 100% Sicherheit bedeutet. Wenn Betroffene nicht explizit zustimmen mit dem, was Sie haben möchten, wird es schwierig und man bewegt sich auf sehr, sehr dünnem Eis. Dabei spielt der Inhalt auch keine Rolle. Wer den Briefkasten öffnet dringt ein, egal was ich da einwerfe. Pacal, dafür gibt es z.B. Newsletter und die kann dann jeder abonnieren oder jederzeit wieder abbestellen. Für mich die sauberste Lösung.

    Ist keine Rechtsberatung nur viele Jahre Erfahrung in der IT.

    Doch - ich mag's pragmatisch. Vom ganzen Rest bekomme ich Kopfschmerzen. Das letzte htprotect.org-Mailing (Werbung für Joomla-Sicherheit, die Komplettlösung und meine kostenlose Schutzkomponente) wurde ausnahmslos positiv aufgenommen.

    Mein Dank gilt allen anonymen und genannten Unterstützern.

    Und mein Dank auch an die Moderatorin, die mit bemerkenswerter Fürsorge über die Belange des Abmahnenden wacht - während meine sachliche Kritik daran verschwand.