John Jackson (* 1994 oder 1995), auch bekannt als Mr. Hacking, ist ein Sicherheitsforscher und Gründer der White Hat Hacker Gruppe Sakura Samurai.
John Jackson (* 1994 oder 1995), auch bekannt als Mr. Hacking, ist ein Sicherheitsforscher und Gründer der White Hat Hacker Gruppe Sakura Samurai.
Jackson diente von 2012 bis 2017 im Marine Corps, wo er als Petroleum Engineer und Logistikmanager tätig war. Nach einer Verletzung wurde er aus dem Militärdienst entlassen und begann, das Zertifizierungs-Bootcamp von LeaderQuest Colorado zu besuchen. Nachdem er bei LeaderQuest gelernt und sich selbst weitergebildet hatte, erwarb er mehrere Cybersicherheitszertifikate, darunter ITIL, CompTIA A+ und Security+ sowie EC-Council Certified Network Defender (CND) und Certified Ethical Hacker (CEH).
Jacksons erster Job im Bereich Cybersicherheit war bei Staples als Endpoint Detection und Response Engineer. Von 2019 bis 2021 war Jackson dann als Application Security Engineer bei Shutterstock tätig, wo er sich um die Sicherheit der Webanwendungen kümmerte, das Bug Bounty-Programm verwaltete und die statischen und dynamischen Tools für die Anwendungssicherheit verwaltete. Während seiner Tätigkeit bei Shutterstock arbeitete er auch als Penetrationstester bei 1337 Inc. und ging in seiner Freizeit auf Bug Bounty-Jagd.
Im März 2020 veröffentlichte Jackson einen Blogbeitrag über eine Sicherheitslücke, die er in der Talkspace-App für psychische Gesundheit entdeckt hatte, nachdem er das Unternehmen über das Problem informiert hatte und entlassen wurde. Talkspace schickte ihm kurz nach der Veröffentlichung des Beitrags eine Unterlassungserklärung, was TechCrunch als "nur das jüngste Beispiel für Sicherheitsforscher, die wegen ihrer Arbeit mit rechtlichen Drohungen konfrontiert werden" bezeichnete.
Im November 2020 entdeckten Jackson und der Forscher Sick.Codes zwei Sicherheitslücken in Fernsehgeräten der Marke TCL. Die erste würde es Angreifern im benachbarten Netzwerk ermöglichen, auf die meisten Systemdateien zuzugreifen, was zur Offenlegung kritischer Informationen führen könnte. Die zweite würde es Angreifern ermöglichen, Dateien in den Ressourcenverzeichnissen der Hersteller zu lesen und zu schreiben, was die Ausführung von beliebigem Code oder die Kompromittierung anderer Systeme im Netzwerk ermöglichen könnte. Nachdem Jackson und Sick.Codes die Schwachstelle an TCL gemeldet hatten, stellte TCL einen Patch bereit. Jackson und sein Forschungspartner gaben jedoch zu bedenken, dass die Behebung der Schwachstelle Anlass zu weiteren Bedenken gab, da es keine Benachrichtigung über die Aktualisierung der Software gab und TCL offenbar die volle Kontrolle über das Gerät hatte. Die Sicherheitslücke wurde in den Medien als "chinesische Hintertür" bezeichnet. In einer Rede vor der Heritage Foundation im Dezember 2021 erklärte der amtierende Sekretär des Heimatschutzministeriums, Chad Wolf, dass seine Behörde die Sicherheitslücke untersuche, weil er befürchte, dass der chinesische Hersteller die Nutzer für "Cyberverletzungen und Datenexfiltration" ausgenutzt hat.
Ebenfalls im November 2020 fand Jackson eine Sicherheitslücke in einer beliebten JavaScript-Bibliothek, die auf npm veröffentlicht wurde. Im März 2021 entdeckten Jackson und andere Forscher einen ähnlichen Fehler in einem Paket, das von rund 278.000 Software-Projekten verwendet wird. Der Fehler existierte bereits seit mehr als neun Jahren. Im April 2021 entdeckte die Gruppe, dass derselbe Fehler in der Standardbibliothek von Python existierte und auch andere Sprachen wie Perl, Go und Rust betroffen waren.
Im Dezember 2020 meldeten Jackson und Nick Sahler, dass sie sich Zugang zu einer großen Menge sensibler Daten der Kinderwebseite Neopets verschafft hatten. Zu den Daten gehörten Anmeldedaten, E-Mails von Mitarbeitern und der Quellcode der Webseite.
Im September 2021 veröffentlichten Jackson und Sick.Codes eine Schwachstelle, die sie in Gurocks Testmanagement-Tool TestRail gefunden hatten. Durch eine unsachgemäße Zugriffskontrolle war es möglich, auf eine Liste von Anwendungsdateien und Dateipfaden zuzugreifen, wodurch sensible Daten wie hartkodierte Anmeldedaten oder API-Schlüssel offengelegt werden konnten.
Im Jahr 2020 gründeten Jackson und Nick Sahler Sakura Samurai, eine White-Hat-Hacking- und Sicherheitsforschungsgruppe. Weitere aktuelle und ehemalige Mitglieder der Gruppe sind Robert Willis, Aubrey Cottle und Higinio Ochoa.
Im Januar 2021 berichteten Jackson und andere Mitglieder von Sakura Samurai öffentlich, dass sie ungeschützte Git-Verzeichnisse und Git-Anmeldedateien auf Domänen entdeckt hatten, die zu zwei Gruppen innerhalb der Vereinten Nationen gehörten. Durch die Sicherheitslücke wurden mehr als 100.000 private Mitarbeiterdaten offengelegt.
Im März 2021 veröffentlichten Jackson und andere Mitglieder der Gruppe Sicherheitslücken, die 27 Gruppen innerhalb der indischen Regierung betrafen. Nachdem sie ungeschützte Git- und Konfigurationsverzeichnisse gefunden hatten, war Sakura Samurai in der Lage, auf Anmeldeinformationen für wichtige Anwendungen, mehr als 13.000 Personalakten, Polizeiberichte und andere Daten zuzugreifen. Die Gruppe entdeckte auch Schwachstellen im Zusammenhang mit Session Hijacking und der Ausführung von beliebigem Code in finanzbezogenen Regierungssystemen. Nachdem die an das indische National Critical Information Infrastructure Protection Centre gemeldeten Probleme mehrere Wochen lang nicht behoben wurden, schaltete Sakura Samura das U.S. Department of Defense Vulnerability Disclosure Program ein, und die Probleme wurden behoben.
Jackson und andere Mitglieder von Sakura Samurai fanden eine Schwachstelle in der Unternehmenssoftware Pega Infinity von Pegasystems, die für Customer Engagement und digitale Prozessautomatisierung eingesetzt wird. Die Schwachstelle, die Pegasystems erstmals im Februar 2021 gemeldet wurde, betraf eine mögliche Fehlkonfiguration, die die Offenlegung von Daten ermöglicht. Die Schwachstelle führte dazu, dass die Forscher in die Systeme der Ford Motor Company und von John Deere eindrangen. Diese Vorfälle wurden im August 2021 öffentlich bekannt gegeben.
Jackson und andere Mitglieder von Sakura Samurai haben auch bemerkenswerte Schwachstellen im Zusammenhang mit Organisationen und Software wie Apache Velocity, Keybase und Fermilab gemeldet.
| Personendaten | |
|---|---|
| NAME | Jackson, John |
| ALTERNATIVNAMEN | Hacking, Mr. |
| KURZBESCHREIBUNG | Sicherheitsforscher |
| GEBURTSDATUM | 1994 oder 1995 |
