Remote

zerforschung

@zerforschung@chaos.social

mastodon 4.6.9

reverse engineering in progress.

16018 Followers

2 Following

21 Posts

Joined May 12, 2021

Website:

https://zerforschung.org

E-Mail:

hallo@zerforschung.org

zerforschung @zerforschung@chaos.social

· 12mo ago

Replying to

Unsere Recherchen haben wir mit Svea Eckert, Ciara Cesaro-Tadic und Palina Milling von NDR & WDR sowie mit Lea Weinmann und Sebastian Erb von der Süddeutschen Zeitung geteilt. Ihre Artikel findet ihr hier:

Datenleck bei Hotelsoftware

Datenleck bei Hotelsoftware

Namen, Ausweis- und Kreditkartendetails: Wegen Sicherheitslücken in einer Hotelbuchungssoftware waren offenbar Millionen Gästedaten online abrufbar. Sicherheitsforscherinnen sprechen von einfachen Fehlern mit schwerwiegenden Auswirkungen.

47

1

20

0

zerforschung @zerforschung@chaos.social

· 46mo ago

Replying to

People on Twitter wished for an edit button. One of Hive's security vulnerabilities allows even more: You can edit posts of other accounts.

490

41

456

0

zerforschung @zerforschung@chaos.social

· 11mo ago

Replying to

Über diese Recherche und unsere Arbeit allgemein haben wir mit @sveckert@mastodon.social und @evawolfangel@chaos.social für ihren Podcast gesprochen. Die Folge findet ihr hier: https://frauen-technik.podigee.io/53-new-episode

🎙️ Inside Zerforschung: Wie Kara & Co. unsere digitale Welt auseinandernehmen (und reparieren)

They Talk Tech – mit Eckert und Wolfangel

🎙️ Inside Zerforschung: Wie Kara & Co. unsere digitale Welt auseinandernehmen (und reparieren)

In dieser Folge ist Kara von Zerforschung zu Gast: Zerforschung ist bekannt für kluge, beharrliche und manchmal unbequeme Recherchen zu IT-Sicherheitslücken. Kara erzählt, wie ihr Team immer wieder auf erstaunlich einfache Fehler stößt – etwa bei einer Hotelsoftware, in der man sensible Gästedaten unter anderem durch das Hochzählen von Nummern abrufen konnte. Auch Sveas Daten waren darunter. Warum sie das machen? Weil sie zeigen wollen, wie fragil unsere digitale Welt manchmal ist und weil sie s

35

0

13

0

zerforschung @zerforschung@chaos.social

· 26mo ago

»Bitte verwenden Sie diese E-Mail-Adresse ausschließlich für Presseanfragen.«

Jetzt müssen wir Sicherheitslücken auch noch als Presseanfragen formulieren. Manche Unternehmen machen es uns wirklich nicht leicht.

133

18

31

0

zerforschung @zerforschung@chaos.social

· 12mo ago

Replying to

Unsere Recherche haben wir mit der ZEIT geteilt, den Artikel könnt ihr hier lesen: https://www.zeit.de/digital/datenschutz/2025-09/cybersicherheit-gastgewerbe-hotel-datenschutz-likemagic/komplettansicht

27

0

11

0

zerforschung @zerforschung@chaos.social

· 30mo ago

Replying to

😱 Tatsächlich bekommen wir als Antwort eine Liste aller Nutzer*innen, mit Name, E-Mail-Adresse, gehashtem Passwort, Geburtsdatum und Postleitzahl. Und das war nicht die einzige Lücke, die wir gefunden haben, mehr dazu im Blogpost.

114

43

33

0

zerforschung @zerforschung@chaos.social

· 30mo ago

Replying to

CanGuard ist ein Anbieter solch einer Rundum-Sorglos-Lösung für die Cannabis-Clubs. Neben Social-Club-Features werben sie auch mit Datensicherheit. Trotz diesen Versprechungen haben wir den Dunst der Stunde 💨 genutzt, uns als CSC registriert und nebenbei ein bisschen in die Entwicklungs-Tools unseres Browsers geguckt 👀

73

48

27

0

zerforschung @zerforschung@chaos.social

· 30mo ago

Replying to

Dabei fällt uns eine Anfrage an die CanGuard-Server auf, mit der die Mitglieder unseres Clubs abgerufen wurden: /user/all?club=[CLUB_ID]&invitation=accepted&role=user Bei einem Endpunkt mit "all" im Namen werden wir immer ein bisschen hellhörig 🔦👂. Was passiert wohl, wenn man die Filter club, invitation und role einfach wegließe? 🤔 Der einfachste Weg, das herauszufinden, ist es auszuprobieren…

73

44

20

0

zerforschung @zerforschung@chaos.social

· 46mo ago

Replying to

To not endanger the privacy of the people currently using Hive even further, we are only publishing a short product warning. Once the issues are fixed, we will publish a more in depth analysis including technical details.

116

14

30

0

zerforschung @zerforschung@chaos.social

· 30mo ago

Replying to

Unsere Rechercheergebnisse haben wir mit @daniellaufer@mastodon.social und Carla Spangenberg vom rbb geteilt, deren Artikel ihr hier lesen könnt: https://www.tagesschau.de/investigativ/kontraste/cannabis-clubs-daten-100.html

Datenleck bei Plattform für Cannabis-Clubs

Datenleck bei Plattform für Cannabis-Clubs

Daten Hunderter Cannabis-Clubs waren nach Kontraste-Informationen öffentlich einsehbar. Aufgedeckt hat das Leck ein Kollektiv aus Sicherheitsforschern. Kritiker warnen schon länger vor Datenschutzproblemen. Von D. Laufer und C. Spangenberg.

34

0

7

0

zerforschung @zerforschung@chaos.social

· 30mo ago

Replying to

Wer die ganze Geschichte mit allen Details (inkl. weiter Lücken und einer genauen Timeline) nachlesen möchten, kann das auf unserem Blog tun: https://zerforschung.org/posts/canguard/

Seit dem 1. April ist Bubatz legal, Datenlecks aber weiterhin nicht

zerforschung.org

Seit dem 1. April ist Bubatz legal, Datenlecks aber weiterhin nicht

Kiffer aller (Bundes-)Länder vereinigt euch und jubelt, seit dem 01.04. ist Bubatz legal1. In freudiger Erwartung auf den 01.07., an dem die nächsten Regelungen aus dem Cannabis-Gesetz in Kraft treten, sprießen nun in ganz Deutschland die Cannabis Social Clubs (CSCs) aus dem Boden und brauchen zum Wachsen nicht nur Samen, Wasser und viel Licht, sondern natürlich auch gute Software. So gibt es schon jetzt eine ganze Reihe Anbieter, die den neuen Markt gerochen2 haben und speziell auf CSCs ausgeri

30

4

7

0

zerforschung @zerforschung@chaos.social

· 30mo ago

Replying to

Dabei sollte auch bei Cannabis-Clubs sollte Datensparsamkeit gelten und so wenig Daten wie möglich gespeichert werden müssen: Denn Daten, die gar nicht erst gesammelt und aufbewahrt werden, können auch nicht wegkommen. So müssten sich 🥦-Connoisseur*innen keine Sorgen um ihre Daten machen und könnten sich auf wichtigere Dinge konzentrieren.

27

5

3

0

zerforschung @zerforschung@chaos.social

· 30mo ago

Replying to

Solch gravierende Lücken müssen schnellstmöglich geschlossen werden. Daher haben wir wie immer einen Report geschrieben und diesen an das Unternehmen, die zuständige Datenschutzbehörde und das CERT-Bund geschickt. Schnell bekamen wir eine Eingangsbestätigung, doch bis die Lücken wirklich geschlossen waren, brauchte es mehr als eine Woche und mehrere zusätzliche Meldungen von uns. Erst dann entschied CanGuard sich, ihre Software erstmal offline zu nehmen und die Lücken damit sicher zu schließen.

24

9

3

0

zerforschung @zerforschung@chaos.social

· 30mo ago

Replying to

Doch hier nur CanGuard die Schuld für das Datenleck zu geben greift zu kurz: Denn dass sie so viel Daten überhaupt sammeln, liegt auch am Gesetz. Nach dem KCanG müssen Anbauvereinigungen viele Daten über ihre Mitglieder erheben: Name, Geburtsjahr, abgegebene Menge, etc. Diese Daten müssen zudem 5 Jahre aufbewahrt und teilweise sogar an die zuständige Behörde übermittelt werden.

23

8

3

0

zerforschung @zerforschung@chaos.social

· 26mo ago

Coordinated Vulnerability Jeopardy

@zerforschung@chaos.social

zerforschung: "»Bitte verwenden Sie diese E-Mail-Adresse ausschl…" - chaos.social

17

0

3

0

zerforschung @zerforschung@chaos.social

· 46mo ago

Replying to

Update: The vulnerabilities are currently no longer exploitable because Hive deactivated their servers. More details: https://zerforschung.org/posts/hive-en/#update-1-poof-the-hive-is-gone

⚠️ Warning: do not use Hive Social 👉🐝👈

zerforschung.org

⚠️ Warning: do not use Hive Social 👉🐝👈

Dieser Artikel ist auch auf deutsch erschienen. Update: The vulnerabilities are currently no longer exploitable because Hive deactivated their servers. More details Following the Twitter takeover, a number of services promising to be an alternative gained traction. One of those is “Hive Social”, which reached more than a million users in the last weeks. Of course, we were interested and took a look at Hive from a security standpoint. We found a number of critical vulnerabilities, w

34

4

16

0

zerforschung @zerforschung@chaos.social

· 30mo ago

Replying to

@CyberPunker@mastodon.social oh, natürlich. danke für den hinweis, ist gefixt.

2

0

0

0