Register 9 · Hilfe · Blatt 86

Sicherheitshinweise

Hier stehen alle Schwachstellen, die uns gemeldet wurden oder die wir selbst gefunden haben, nachdem sie behoben sind. Offene Meldungen veröffentlichen wir erst nach der Behebung. Wer eine Lücke findet, schreibt uns über das Kontaktformular (Thema „Sicherheit“). Die Datei security.txt verweist auf dasselbe Formular.

LW-2024-01: API-Token-Präfix im Fehlerprotokoll zu lang

Kennung

LW-2024-01

Geschlossen

Schwere

niedrig

Gemeldet

28.05.2024, geschlossen am 11.06.2024

Betroffen

API 1.3 bis 1.5 (Lunwerk 5.x bis 7.3)

Das Fehlerprotokoll der Schnittstelle sollte bei fehlgeschlagenen Anfragen nur das Token-Präfix lwk_ festhalten, damit sich Fehler einem Token zuordnen lassen. Es schrieb stattdessen die ersten 12 Zeichen des Tokens, also 8 Zeichen des geheimen Teils. Das Protokoll liegt nur auf dem Server und wird nach 14 Tagen gelöscht. Zugriff darauf haben zwei Personen im Betrieb. Eine Ausnutzung ist nicht bekannt. Zugriffsprotokolle schreibt die Anwendung ohnehin nicht.

Behebung

Seit API 1.6 vom 11. Juni 2024 steht im Fehlerprotokoll nur noch das Präfix lwk_ und die ersten 6 Zeichen des SHA-256-Hashes des Tokens. Die Protokolle der betroffenen Zeit wurden gelöscht. Tokens mussten nicht ersetzt werden, weil 8 von rund 40 Zeichen keinen Zugang eröffnen.

Hinweis: Eigener Fund bei einer internen Durchsicht der Protokollausgabe.

LW-2022-01: Mängelfoto im Altsystem ohne Berechtigungsprüfung abrufbar

Kennung

LW-2022-01

Geschlossen

Schwere

hoch

Gemeldet

07.03.2022, geschlossen am 09.03.2022

Betroffen

Lunwerk 4.3 bis 5.0: Mängelfotos der ersten Bildablage, hochgeladen vom 23. März bis 31. Oktober 2021 (rund 1.900 Fotos)

Die erste Bildablage lieferte Mängelfotos unter einer Adresse mit fortlaufender Nummer, ohne zu prüfen, ob die abrufende Person angemeldet war oder zum Betrieb gehörte. Wer eine Nummer erriet, konnte das zugehörige Foto laden. Fotos aus der Zeit nach Oktober 2021 lagen bereits in der Ablage mit Berechtigungsprüfung und Zufallsnamen. Hinweise auf eine Ausnutzung liegen nicht vor.

Behebung

Am 9. März 2022 wurden alle Fotos der alten Ablage in die neue übernommen und mit Zufallsnamen versehen. Die alten Adressen antworten seitdem mit 404. Jeder Abruf prüft Sitzung oder Token und die Zugehörigkeit zum Betrieb. Ein automatischer Test ruft ein Foto mit dem Token eines fremden Betriebs ab und erwartet 404.

Hinweis: Hinweis eines Kunden, der eine Fotoadresse an einen Subunternehmer weitergab und die laufende Nummer bemerkte.

LW-2021-01: CSV-Export: Formelinjektion

Kennung

LW-2021-01

Geschlossen

Schwere

mittel

Gemeldet

04.05.2021, geschlossen am 18.05.2021

Betroffen

Lunwerk 1.4 bis 4.3: CSV-Export der Monatsliste und des Mängelregisters

Textfelder wurden unverändert in die CSV-Datei geschrieben. Begann ein Feld, etwa die Beschreibung eines Mangels oder ein Name, mit =, +, - oder @, wertete Excel den Inhalt beim Öffnen als Formel aus. Formeln können Daten an fremde Adressen senden oder Programme starten. Voraussetzung war, dass jemand einen solchen Text eintrug oder aus einer fremden Quelle einfügte und die Datei danach in Excel öffnete. Eine Ausnutzung ist nicht bekannt.

Behebung

Seit Lunwerk 4.4 vom 18. Mai 2021 setzen alle CSV-Exporte vor Zellen, die mit =, +, - oder @ beginnen, ein Apostroph. Excel zeigt den Text dann unverändert an und führt nichts aus. Zahlen mit Minuszeichen, etwa -12,5, bleiben unverändert. Die Änderung gilt auch für alle bereits gespeicherten Daten.

Hinweis: Hinweis eines Kunden, der die Datei vor dem Öffnen in einem Texteditor prüfte.

LW-2020-01: Sitzungscookie ohne Secure-Attribut

Kennung

LW-2020-01

Geschlossen

Schwere

mittel

Gemeldet

09.06.2020, geschlossen am 23.06.2020

Betroffen

Lunwerk 1.2 bis 3.6 (Kundenbereich und mobile Erfassung)

Das Sitzungscookie trug kein Secure-Attribut. Rief jemand die Seite versehentlich über eine unverschlüsselte Adresse (http) auf, ging das Cookie im Klartext über das Netz, bevor die Weiterleitung auf https griff. Wer im selben WLAN mitlas, hätte die Sitzung übernehmen können. Die Weboberfläche selbst war durchgehend über https erreichbar. Eine Ausnutzung ist nicht bekannt.

Behebung

Seit Lunwerk 3.7 vom 23. Juni 2020 wird das Cookie nur mit Secure, HttpOnly und SameSite=Lax gesetzt und trägt das Präfix __Host-. Der Server sendet außerdem den Header Strict-Transport-Security mit einem Jahr Gültigkeit.

Hinweis: Meldung über das Kontaktformular, Absender nicht genannt.

LW-2019-01: Sitzung blieb nach Passwortänderung gültig

Kennung

LW-2019-01

Geschlossen

Schwere

mittel

Gemeldet

06.11.2019, geschlossen am 19.11.2019

Betroffen

Lunwerk 1.2 bis 3.3 (Kundenbereich und mobile Erfassung)

Wer sein Passwort änderte, beendete damit nur die aktuelle Sitzung. Alle anderen Sitzungen desselben Kontos blieben bis zu ihrem Ablauf gültig. Wer das Passwort nach einem verlorenen Telefon oder einem offen gelassenen Rechner wechselte, sperrte den Zugriff darüber nicht aus. Ein Missbrauch setzte Zugriff auf das Gerät oder das Sitzungscookie voraus. Hinweise auf eine Ausnutzung liegen nicht vor.

Behebung

Seit Lunwerk 3.4 vom 19. November 2019 beendet eine Passwortänderung alle anderen Sitzungen des Kontos. Bestehende Sitzungen wurden beim Update einmal ungültig, die Betroffenen mussten sich neu anmelden.

Hinweis: Hinweis eines Kunden. Danke.