Gibt mal wieder einen Lapsus der ‘Sicherheitsfirma’ Commodo, die auch Zertifikate ausstellen. Comodo ITSM wurde mit einem Zertifikat für localhost ausgeliefert, bei dem der private Schlüssel extrahierbar war.
Ich bin bei Google+ auf den Post von Kristian Köhntopp mit dem Hinweis gestoßen. Hier der Text:
Ist etwas kryptisch, lässt sich aber entwirren. Comodo Security Solutions ist ein Bereich bei Commodo, der Sicherheitslösungen entwickelt. Die haben die Software Commodo ITSM erstellt. Das Kürzel steht für IT Service Management (Software).
Nun hat Comodo Security Solutions ein Zertifikat von Commodo CA geholt und mit der Software ausgeliefert. Konkret läuft unter Comodo ITSM (IT Service Management Software) ein HTTPS Server der über localhost und Port 21185 erreichbar ist. Die Domain localhost.cmdm.comodo.net zeigt auf localhost.
Hanno Böck weist in dieser Google-Gruppe darauf hin, dass das Zertifikat kompromittiert sei. Denn er war mit wenig Aufwand in der Lage, den privaten Schlüssel aus der Software zu extrahieren. Das ist also die Fortsetzung des beA-Debakels, über welches ich hier berichtet hatte. Frage an die Admins in Unternehmen: Hat jemand die Commodo-Lösungen im Einsatz?
