Ein Sicherheitsbericht des CERT‑Bund hat mehrere Schwachstellen im Open‑Source‑Datenportal CKAN identifiziert, die Angreifern SQL‑Injection, Informationsoffenlegung und Cross‑Site‑Scripting ermöglichen und damit Schutzmechanismen umgehen können.
Hintergrund zu CKAN
CKAN ist ein weit verbreitetes Datenmanagementsystem, das von öffentlichen Einrichtungen und Organisationen zur Bereitstellung von Datensätzen genutzt wird. Die gemeldeten Schwachstellen betreffen insbesondere die Web‑Oberfläche und die Anbindung an die Datenbank.
Beschreibung der Schwachstellen
Eine der Schwachstellen erlaubt das Einschleusen manipulierten SQL‑Codes in Eingabefelder, wodurch ein Angreifer Daten auslesen oder verändern kann.
Eine zweite Schwachstelle ermöglicht das Einfügen schädlichen JavaScripts in Formulare, was zu Cross‑Site‑Scripting führt und die Sitzung von Benutzern kompromittieren kann.
Durch die Kombination beider Schwachstellen lässt sich zudem die Wirksamkeit von Authentifizierungs‑ und Autorisierungsprüfungen umgehen, sodass Schutzmechanismen umgangen werden können.
Potenzielle Auswirkungen
Eine Ausnutzung könnte zur Offenlegung vertraulicher Daten, zur Gefährdung der Systemintegrität und zur Beeinträchtigung der Verfügbarkeit von Diensten führen.
Empfohlene Gegenmaßnahmen
Der CERT‑Bund empfiehlt betroffenen Betreibern, die veröffentlichten Sicherheitspatches unverzüglich zu installieren, betroffene Komponenten zu aktualisieren und Eingaben streng zu validieren.
Zusätzlich sollten Betreiber Logdateien überwachen, verdächtige Aktivitäten melden und ein Incident‑Response‑Verfahren aktivieren.
Ausblick
Die Schwachstellen werden in der CVE‑Datenbank erfasst; zukünftige CKAN‑Versionen sollen durch verbesserte Sicherheitsarchitektur geschützt werden.
Dieser Bericht basiert auf Informationen von CERT-Bund, lizenziert unter Amtliches Werk gem. § 5 UrhG (Deutschland).
Ende der Uebertragung