Eine Sicherheitslücke im Shop von Tuxedo erlaubte es Nutzerdaten, wie Hashes und Adressen abzugreifen. Mittlerweile ist sie geschlossen.
Heute, am 14.02.2022 gegen 19:20 erhielt ein Nutzer (Danke @firecooler), der ein Kundenkonto bei Tuxedo Computers hatte, eine E-Mail mit einem Hinweis auf ein bereits geschlossene Sicherheitslücke, die den Zugriff auf Kundendaten ermöglichte.
Die Webseite des Linux-Laptopspezialisten war zum aktuellen Zeitpunkt nicht erreichbar
Wer oder was ist Tuxedo?
Tuxedo Computers ist ein Hersteller von individuell konfigurierbaren Linux-Laptops. Die Fertigung der Geräte erfolgt in Deutschland. Außerdem sind sie zu 100 % mit Linux kompatibel und haben bis zu 5 Jahre Garantie. Tuxedo Computers ist seit 2004 auf dem Markt.
Neben klassischen Laptops bietet der Linuxspezialist auch Gaming-Notebooks mit dediziertem Grafikbeschleuniger. Dabei sind zum Beispiel die Nvidia GeForce RTX 3080 und Nvidia GeForce RTX 3070 in der mobilen Variante erhältlich.
Mittlerweile hat der Hersteller auch klassische Linux-Desktop-PCs in Midi oder Maxi-Baugröße im Angebot.
Tuxedo am Sonntag, den 13.02.2022 informiert
Ein bisher unbekannter Hacker informierte Tuxedo Computers am 13.02.2022 über eine Sicherheitslücke auf ihrer Webseite. Sie erlaubte es einem Angreifer, sofern er ein eigenes Kundenkonto angelegt hatte, Daten anderer Nutzer abzugreifen. Dazu gehören Adressdaten und Passworthashes.
Weitere, sensiblere Informationen, wie Zahlungsdaten waren über die genannte Lücke nicht zu extrahieren. Auch wenn man die Kennwörter nicht im Klartext sehen konnte, empfiehlt Tuxedo trotzdem eine Passwortänderung.
Bisher ist nur bekannt, dass die Daten über das Adressbuch im Kundenkonto abgegriffen werden konnten. Weitere Details hat man bisher nicht veröffentlicht.
Sicherheitslücke taggleich geschlossen
Der Linux-Spezialist schreibt, dass die Lücke bereits am selben Tag gegen 13:30 geschlossen wurde. Überprüfen lässt sich das derweil nicht, da die Webseite ist aktuell nicht zu erreichen ist.
Laut Aussagen des Hackers hat er die Daten weder gespeichert noch veröffentlicht. Auch Tuxedo selbst ist kein Missbrauch oder eine Veröffentlichung bekannt.
Lesen Sie auch
Originalmeldung
Hallo,
wir wurden am Sonntag, 13.02.2022, über eine mögliche Sicherheitslücke informiert, die es einem Angreifer ermöglichen konnte – sofern er selbst ein Kundenkonto bei uns hat – Adressdaten und Passworthashes abzugreifen. Wir haben die Lücke bereits am Sonntag 13.02.2022 gegen 13:30 Uhr geschlossen!
Vielen Dank an dieser Stelle auch an den Entwickler, der uns darüber informiert hat.
Laut dessen Aussage wurden die Daten weder gespeichert noch veröffentlicht.
Uns ist kein Missbrauch und kein Veröffentlichung der Daten bekannt. Da dies auch nur nach Anlage eines Kundenkonto und anschließender Bearbeitung des Adressbuchs möglich war, gehen wir nicht davon aus und haben keine Anhaltspunkte dafür, dass diese Lücke bisher noch jemand entdeckt hat bzw. sie auch nicht ausgenutzt wurde.Es bestand zwar die Möglichkeit Adressdaten und Passworthashes zu extrahieren, aber keine Passwörter im Klartext! Auf Zahlungsdaten oder -informationen sowie andere sensible Daten bestand kein Zugriff!
Dennoch raten wir Ihnen dazu, Ihr Passwort sowohl bei uns im Shop als auch auf anderen Seiten, auf denen Sie das selbe Passwort verwenden, zu ändern!Vielen Dank für Ihr Verständnis.
Viele Grüße,
Ihr TUXEDO Team
E-Mail von Tuxedo Computers
Glück im Unglück?
Immer wieder werden Firmen Opfer von Datenlecks und anderen Angriffen. In der Vergangenheit war bereits die CompuGroup Medical Opfer einer Hackerattacke. Bei Auerswald VoIP existierte eine Hersteller-Backdoor in der Firmware der VoIP-Server.
Scheinbar hat jedoch ein Whitehat Tuxedo rechtzeitig informiert, bevor die Daten missbraucht werden konnten. Vielleicht kommt der Linux-Spezialist so noch mit einem blauen Auge davon.
Falls noch jemand die obige E-Mail erhalten hat, würde ich mich über eine Nachricht im Forum freuen.
Tarnkappe.info
