„`html
Zusammenfassung
FrontAccounting in Versionen vor 2.4.20 weist eine kritische SQL-Injection-Schwachstelle im Audit Trail Report Handler auf. Authentifizierte Angreifer mit SA_GLANALYTIC-Berechtigung können durch Einschleusung von Schadcode in die POST-Parameter PARAM_2 und PARAM_3 beliebige SQL-Abfragen ausführen. Die Schwachstelle ermöglicht sowohl Denial-of-Service-Angriffe als auch unbefugten Datenzugriff.
Betroffene Systeme
FrontAccounting-Installationen vor Version 2.4.20 sind anfällig. Die Schwachstelle betrifft alle Systeme, auf denen das Audit Trail Report Modul aktiv ist und Benutzer über SA_GLANALYTIC-Berechtigungen verfügen. Derzeit ist kein Patch verfügbar.
Technische Details
Die Schwachstelle liegt in der unzureichenden Eingabevalidierung der Report Handler-Komponente. Angreifer können SQL-Code direkt in die HTTP-POST-Parameter PARAM_2 und PARAM_3 injizieren, ohne dass diese gefiltert oder escaping werden.
Exploitations-Techniken:
- Time-based Blind SQL Injection: Durch SLEEP()-Funktionen in JOINs können Angreifer Verzögerungen auslösen, die sich über JOIN-Resultmengen multiplizieren und somit Datenbankverbindungen erschöpfen.
- UNION-basierte Injection: Direkter Zugriff auf Tabellenstrukturen zur Datenextraktion möglich.
Empfohlene Massnahmen
- Sofortiges Update auf FrontAccounting 2.4.20 oder höher durchführen
- Bis zur Verfügbarkeit eines Patches: Zugriff auf Audit Trail Reports durch Firewall-Regeln einschränken
- SA_GLANALYTIC-Berechtigungen nur Vertrauenspersonen zuweisen
- Datenbank-Activity-Monitoring implementieren zur Erkennung verdächtiger Abfragen
- Regelmäßige Überprüfung der Datenbankverbindungen auf anomale Auslastung
- WAF-Regeln zur SQL-Injection-Prävention aktivieren
Bewertung
CVSS Score: 8.1 (High)
Die Schwachstelle erfordert Authentifizierung, was das Risiko reduziert. Jedoch ermöglichen die Exploitations-Techniken erhebliche Schäden: DoS durch Ressourcenerschöpfung und Datendiebstahl. Betriebe sollten schnellstmöglich patchen oder Mitigationsmaßnahmen implementieren.
„`