Deutschland: Mehrere Schwachstellen in Snipe-IT ermöglichen Datei-Manipulation, XSS und Code-Ausführung
Ein Angreifer kann laut einer Sicherheitsberatung des CERT-Bund mehrere Schwachstellen in der Open‑Source‑Software Snipe‑IT ausnutzen, um Dateien zu manipulieren, Sicherheitsvorkehrungen zu umgehen, Cross‑Site‑Scripting (XSS) durchzuführen und beliebigen Programmcode auszuführen.
Hintergrund
Snipe‑IT wird von vielen Unternehmen zur Verwaltung von IT‑Assets eingesetzt. Die Anwendung läuft als Web‑Applikation und bietet Funktionen zur Inventarisierung, Lizenzverwaltung und Berichtserstellung.
Betroffene Komponenten
Die Analyse zeigt, dass sowohl die Dateiverwaltung als auch die Eingabevalidierung in mehreren Modulen fehlerhaft implementiert sind. Durch gezielte Anfragen können Angreifer Dateien auf dem Server überschreiben oder neue Dateien hinterlegen.
Sicherheitslücken im Detail
Erstens erlaubt die fehlerhafte Prüfung von Dateinamen das Hochladen von schädlichen Skripten, was die Ausführung von beliebigem Code ermöglicht. Zweitens können bestimmte Parameter nicht korrekt gefiltert werden, wodurch ein XSS‑Angriff über die Weboberfläche realisierbar ist. Drittens lässt die Anwendung Sicherheitsmechanismen wie Content‑Security‑Policy umgehen, wenn manipulierte Dateien geladen werden.
Empfohlene Gegenmaßnahmen
Der CERT‑Bund rät Administratoren, sofort auf die von den Entwicklern bereitgestellten Sicherheitspatches zu migrieren. Zusätzlich sollten Dateiupload‑Funktionen eingeschränkt und Eingaben streng validiert werden. Der Einsatz von Web‑Application‑Firewalls kann weitere Schutzebenen bieten.
Auswirkungen
Ein erfolgreicher Angriff kann zur Kompromittierung sensibler Inventardaten, zur Installation von Schadsoftware oder zur Übernahme der gesamten Web‑Applikation führen. Unternehmen, die Snipe‑IT im produktiven Umfeld nutzen, sollten das Risiko als hoch einstufen, solange keine Gegenmaßnahmen umgesetzt sind.
Hinweis zur Quelle
Die Informationen stammen aus dem Sicherheitsbulletin WID‑SEC‑2026‑2073 des CERT‑Bund, veröffentlicht am 20. August 2026.
Dieser Bericht basiert auf Informationen von CERT-Bund, lizenziert unter Amtliches Werk gem. § 5 UrhG (Deutschland).
Ende der Uebertragung