Schwachstellenforschung an verbreiteter Software.
Ich untersuche verbreitete Software auf Sicherheitslücken, melde sie den Herstellern und veröffentliche nach der Behebung ein Advisory mit den formalen Angaben.
Research
Getestet wird auf eigenen Instanzen im eigenen Labor, veröffentlicht erst nach koordinierter Offenlegung mit dem Hersteller.
- CVE-Research Von mir gemeldete Schwachstellen mit Kennung und Stand der Offenlegung. Derzeit vier, alle in ILIAS, alle behoben.
- Advisories Eigene Security Advisories, veröffentlicht nach koordinierter Offenlegung. Bis dahin bewusst ohne Details.
- Writeup-Reihe „Poking on ILIAS“ Wie ich eine Lernplattform auf der eigenen Test-VM auseinandernehme, Schritt für Schritt dokumentiert. Ein Beitrag zur PHP-Objektinjektion ist verfügbar. Weitere Beiträge folgen.
Arbeitsweise
- Getestet wird nur auf eigenen Instanzen, nie auf fremden Systemen.
- Jeder Fund geht zuerst an den Hersteller, mit Vorschlag für die Korrektur.
- Veröffentlicht wird erst nach der Behebung und einer Karenzzeit für Betreiber.
- Was veröffentlicht wird, ist nachvollziehbar dokumentiert.
Kontakt
Wenn Sie mit mir sprechen wollen — über meine Research-Arbeit oder über Ihre Systeme —, schreiben Sie mir. Ich antworte in der Regel innerhalb von zwei Werktagen.
kontakt@schweigertit.de