„`html
Zusammenfassung
Eine kritische Schwachstelle in SINEC INS (alle Versionen < V1.0 SP2 Update 6) ermöglicht es Angreifern, Benutzerpasswörter durch Brute-Force- oder Pre-Computed-Attacken zu kompromittieren. Die Vulnerability entsteht durch eine fehlerhafte Password-Hashing-Implementierung mit statischem, hardcodiertem Salt und unzureichenden Iterations-Parametern.
Betroffene Systeme
Betroffen sind alle Versionen von SINEC INS vor Version 1.0 SP2 Update 6. Das Produkt wird in verschiedenen industriellen und unternehmerischen Infrastrukturen eingesetzt. Administratoren sollten ihre Systeme überprüfen, um den aktuellen Versionsstatus zu ermitteln.
Technische Details
Das Vulnerability liegt in der kryptographischen Implementierung des Password-Management-Systems begründet:
- Statischer Salt: Alle Benutzer und Installationen nutzen denselben hardcodierten Salt-Wert, wodurch Rainbow-Table-Attacken erheblich vereinfacht werden
- Unzureichende Iteration: Die Anzahl der Hash-Iterations entspricht nicht aktuellen Sicherheitsstandards (OWASP empfiehlt mindestens 100.000 Iterationen für PBKDF2)
- Angriffsvektor: Lokaler Zugriff erforderlich (z.B. Zugriff auf Hash-Datenbank oder Konfigurationsdateien)
Ein Angreifer kann Pre-Computed-Hash-Tabellen oder optimierte Brute-Force-Tools nutzen, um Passwörter in akzeptabler Zeit zu recovern.
Empfohlene Massnahmen
- Update auf SINEC INS V1.0 SP2 Update 6 oder neuer durchführen
- Starke, komplexe Passwörter (mindestens 16 Zeichen) implementieren
- Zugriffe auf Konfigurationsdateien und Passwort-Hashes restriktiv kontrollieren
- Monitoring und Logging für Authentifizierungsversuche aktivieren
- Regelmäßige Sicherheitsaudits durchführen
Bewertung
CVSS Score: 7.5 (High)
Schweregrad: Hoch – Die Vulnerability ermöglicht direkten Zugriff auf Benutzerkonten und damit auf sensible Systemressourcen. Eine zeitnahe Remediation ist erforderlich.
„`