Schlagwort: LSB

Bis zum 39C3 öffne ich täglich ein Türchen zu den langweiligsten Datenlecks der letzten Jahre. Es geht um .git, .env, exponierte dev-Umgebungen und andere technisch langweilige Ursachen. Aber manchmal ist interessant, was sich hinter einem Türchen verbirgt. Alle Türchen sind hier zu finden.

Unter https://ivy.lsb-sachsen-anhalt.de/.git/ lag 2023 ein git-Repository. Dieses enthielt neben Quellcode auch Konfigurationsdaten, einschließlich gültiger Zugangsdaten für den mysql-Server, der unter der gleichen Domain erreichbar war. Auf diesem Server waren Daten von mehr als 130.000 Personen einsehbar.

Die Datenbank-Zugangsdaten konnten auch unter https://ivy.lsb-sachsen-anhalt.de/configdata/configdata.xml gefunden werden:

<project name="ivy5serverdev">
<database-connections>
<connection name="ivy5dev">
<hostname>localhost:3306</hostname>
<port>3306</port>
<database>ivy5dev</database>
<user>████████████0001</user>
<password>████████████████</password>
<characterEncoding>utf8</characterEncoding>
<useUnicode>true</useUnicode>
<useSSL>false</useSSL>
</connection>
</database-connections>
...

Auf dem Datenbank-Server lagen diverse Tabellen für verschiedene Jahre, bis zurück ins Jahr 2008:

TABLE_SCHEMA TABLE_NAME TABLE_ROWS
archiv2008_1501 mitglieder_personen 6130
...
ivy_dev2017_development mitglieder_personen 139369
ivy_dev2018 mitglieder_personen 132202
ivy_dev2019 mitglieder_personen 133035
xx_ivy_dev2016 mitglieder_personen 139475

Dabei konnten die folgenden Felder befüllt werden: vernr, sportartid, verbandsid, jahrgang, m, w, aenderung, personid, vernr, nachname, vorname, geburtsdatum, geschlecht, strasse, plz, ort, blz, kontonr, kontoinhaber, iban, bic, abbuchung, einzug, telefonvorw, telefon, mobilvorw, mobil, email, mitglied_seit, mitglied_bis.

Passwörter der IVY-Nutzenden wurden im Klartext gespeichert. Zum Glück steht die IVY-Datenbank heute nicht mehr zur Verfügung.