OH: Hat schon jemand einen Salatkopf vor eine Webcam gestellt?
Remote
Felix Dreissig
@F30@chaos.social
mastodon 4.6.9Computer scientist at the intersection of software development, IT operations, and security.
Currently: Information security at codecentric (but views my own etc.), CTF infra for FAUST CTF, event orga at @c3speakersdesk@chaos.social, hiking and skiing in the mountains.
Previously: DevSecOps for noris network, student at @FAU@mastodon.social, CTF player with FAUST.
348 Followers
308 Following
25 Posts
Joined November 11, 2022
🦄 Pronouns:
He / him
📍 Location:
Erlangen, Germany
Website:
GitHub:
CVE-2026-18963: #Keycloak arbitrary account takeover via session confusion using simple HTTP requests. 😱
Nice find and (allegedly) not even AI-powered at its core.
A working exploit is publicly available. Given Keycloak's widespread use in critical auth systems, this appears to be flying a bit under the radar so far.
If you run Keycloak, it needs your attention *now*.
OH: "Mein Vater hat mich geshamet weil ich Syntax Highlighting hab."
Karlsruhe ohne GPN-Publikum auch irgendwie ungewohnt
Bonjour la Méditerranée! #arschlauber
Irgendwer ne Ahnung, wohin dieser Flug geht? Hier fehlen eindeutig ein paar Schilder. #fra
Replying to
Schei?encoding fährt heute mit im Bus 420
(Die Ort heißen Völs und Kühtai) #oeffitour
Replying to
@isf@muenchen.social @miller@ruhr.social @bsi@social.bund.de Es ist eine Compliance-Maßnahme.
Für öffentliche CAs in Browsern gelten heutzutage strenge Regeln, deren strikte Einhaltung erwartet wird. Dazu gehört das Zurückrufen fehlerhaft ausgestellter Zertifikate.
Andererseits werden User durch die jetzigen Auswirkungen mal wieder erzogen, Zertifikatsfehler wegzuklicken. Und Admins müssen über Ostern eilig Zertifikate tauschen.
Ob das unterm Strich nicht der größere Schaden für die Sicherheit ist? 🤷♂️
Replying to
I now created* and released a script to check a whole GCP Organization for API keys affected by this issue. Use at your own discretion:
https://gist.github.com/F30/9fd4d4cbcfe11c6aabe44e5cc9d8358d
(*) vibe-coded and manually reviewed
Replying to
@plaste@chaos.social @bsi@social.bund.de Genau, und auch die Clients mit AIA Fetching sollten es nur als letztes Mittel verwenden.
Das Cross-signed Root mit als Intermediate in der Kette auszuliefern, müsste eigentlich in jedem Fall funktionieren.
Replying to
@plaste@chaos.social @bsi@social.bund.de Es scheint mir suboptimal konfiguriert zu sein, Details hier: https://chaos.social/@F30/116348001721376200
Replying to
@organicmaps @biodranik What exactly is he looking for? Server capacity? Storage systems? Rack space?
Replying to
I‘m now also contributing a Prowler check to detect the situation: https://github.com/prowler-cloud/prowler/pull/10280
Replying to
@CyborgFoaly Beeindruckende Installation, sobald man mal verstanden hat, was vor sich geht. :)
Wie habt ihr das exakt ausgerichtet bekommen und wie groß sind die Toleranzen?
Replying to
@mspro@fnordon.de Ja, aber solche Gräben verlaufen entlang mehr Dimensionen als der reinen Größe. Der Bauernverband hat z.B. auch die Intensiv- und die Öko-Fraktion, schafft es aber traditionell sehr gut, beide zusammen zu führen und nach außen geschlossen aufzutreten.
OH: Was ist das grade, gewaltfreie Meuterei?!
Hello #ice602, my old Friend
Replying to
@satmd@brettvormkopf.de @bsi@social.bund.de Ja. Ich sag mal so, die Wahrscheinlichkeit dass bei D-Trust auch ein EJBCA läuft, ist nicht gering.
Die klassische Antwort wären detaillierte Change-Anweisungen und -Protokolle. Nicht schön, aber kann man für eine public CA schon mal machen.
Replying to
@Marco@ruhr.social @isf@muenchen.social @miller@ruhr.social @bsi@social.bund.de Hilft hier halt nur bedingt. Also die Toolchain zu haben erleichtert die Arbeit, aber die Zertifikate wären ja eigentlich noch länger gultig.
Replying to
@jom@social.kontrollapparat.de Kann man alles schon tun, aber bei den Kassen selbst sind nicht ansatzweise genug Einsparpotentiale.
https://www.spiegel.de/wirtschaft/gesundheit-das-steckt-hinter-dem-kostenschock-der-krankenkassen-und-das-waere-die-loesung-a-69686e69-4780-4f26-84f5-a7d42d0f16a6?giftToken=100e4aa2-8ca8-44b3-8771-c1d71ed12431
https://www.spiegel.de/wirtschaft/service/reform-der-krankenkassen-wie-geht-es-mit-den-gesetzlichen-krankenkassen-weiter-kolumne-a-07041326-566f-4943-8863-a53e6657a925