Info! Bei diesem Artikel handelt es sich um ein Write-Up einer gefundenen Schwachstelle. Anhand dieser wird hier die Gefahr von sogenannten CORS-Fehlkonfigurationen erklärt. Schwachstellen gibt es in jedem System, weshalb anzumerken ist, dass myCloud / Swisscom im Allgemeinen nicht als unsicher abgestempelt werden sollte. Im Gegenteil: Durch das Bug Bounty Programm konnte der Fehler behoben werden.
Dieser Artikel beschreibt eine Schwachstelle, die sich auf mycloud.ch befand und es unter gewissen Umständen ermöglichte, Dateien von fremden Accounts herunterzuladen und neue Dateien hochzuladen. Die Schwachstelle wurde durch die Swisscom im Rahmen des Bug Bounty Programmes der Swisscom
behoben (siehe Timeline).Swisscom
Wie auch schon bei den zwei anderen Beiträgen dieser Reihe handelt dieser Beitrag über eine Funktion von Swisscom’s Internet-Box (2), die sich ohne Authentifizierung (aus)nutzen lässt. Diesmal stelle ich die Klingeltest-Funktion vor. Wie der Name schon vermuten lässt, lässt dies die Telefone klingeln. Im Vergleich zu den zwei letzten Beiträgen ist diese Funktion am nützlichsten. So kann man, wenn man das Telefon (Festnetz, wohlgemerkt) nicht findet, einfach einen Klingeltest durchführen und es sehr leicht finden. Diesen Klingeltest lässt sich auch über die Swisscom-App oder z.T auch über die Station des Handtelefons ausführen. Ich habe jedoch trotzdem noch eine Android-App dafür geschrieben. Dieses liegt, wie auch das Python-Skript auf dem Github-Repository.
Hallo zurück und willkommen zum zweiten Teil dieser kleinen Beitragsserie. Der heutige Beitrag handelt wieder von Swisscom’s Internet-Box 2. Heute geht es darum, Systeminformationen auszulesen. Zu diesen Informationen gehört unter anderem die Betriebszeit (Uptime), die Modellnummer, die Firmwareversion, die Seriennummer, die Mac-Adresse etc.
Mit über 2 Millionen Internetanschlüssen gehört Swisscom zu den grössten ISP’s der Schweiz. Da ich mehr über Swisscom’s Geräte herausfinden wollte und weil die Swisscom ein Bug-Bounty-Programm anbietet, habe ich mir die Internet-Box 2 genauer angesehen.