Intel Outside: Visitenkarten-Seite verrät Daten aller Intel-Mitarbeiter

Ein unabhängiger Sicherheitsforscher hat ein massives Sicher­heits­problem bei Intel aufgedeckt, durch das sensible Daten von allen rund 270.000 Beschäftigten abrufbar waren. Schwachstelle war eine Webseite zur Bestellung von Visitenkarten.

Komplette Beschäftigten-Datenbank

Eaton Z, ein auf Reverse Engineering und Anwendungssicherheit spezialisierter Entwickler, berichtete in einem Blogbeitrag, wie er durch eine simple Manipulation auf der indischen Intel-Website, über die Mitarbeiter des Konzerns Visitenkarten bestellen können, Zugriff auf interne Systeme erhielt.

Die Schwachstelle, von Eaton sarkastisch "Intel Outside" genannt, erlaubte es, die Login-Schranke zu umgehen. Laut seinen Angaben genügte eine Änderung im JavaScript-Code der Seite, um das System glauben zu machen, dass ein Nutzer angemeldet sei. Daraufhin ließ sich eine Programmierschnittstelle (API) ansprechen, die weitreichende Mitarbeiterinformationen preisgab - nicht nur aus Indien, sondern weltweit.


Durch die Entfernung eines simplen URL-Filters gelang es Eaton, eine fast ein Gigabyte große Datei herunterzuladen. Darin waren detaillierte Angaben zu sämtlichen Angestellten, darunter Namen, Positionen, Vorgesetzte, Telefonnummern und auch Postadressen enthalten. "Weit mehr Informationen, als eine Visitenkarten-Seite jemals benötigen würde", kommentierte der Forscher.

Noch mehr Lücken

Doch bei diesem einen Fund blieb es nicht. Eaton konnte insgesamt vier interne Intel-Webseiten mit vergleichbaren Schwachstellen ausfindig machen. Auf einer Plattform namens "Product Hierarchy" fand er hartkodierte, leicht entschlüsselbare Zugangsdaten, die sowohl Mitarbeiter- als auch Admin-Zugriffe ermöglichten. Ähnliche Probleme entdeckte er beim "Product Onboarding"-Portal. Zudem ließ sich die Anmeldung auf dem Lieferantenportal SEIMS umgehen - auch hier waren umfangreiche Personaldaten abrufbar.

Seit Oktober 2024 hatte Eaton seine Erkenntnisse an Intel gemeldet. Rückmeldung erhielt er jedoch lediglich in Form automatisierter Standardmails. Eine Belohnung im Rahmen des Bug-Bounty-Programms erhielt er nicht - formale Ausschlussklauseln verhinderten dies.

Nach eigenen Angaben stellte Intel die Sicherheitslücken bis zum 28. Februar 2025 ab. Erst jetzt veröffentlichte Eaton seinen ausführlichen Bericht. Intel selbst hat sich bislang nicht öffentlich zu den Enthüllungen geäußert.


Siehe auch: