„`html
Zusammenfassung
CVE-2026-70369 ist eine kritische SQL-Injection-SicherheitslĂĽcke in Koha’s Acquisitions-Statistik-Modul. Die Schwachstelle ermöglicht authentifizierten Benutzern mit Reports-Modulberechtigung die AusfĂĽhrung beliebiger SQL-Befehle. Dadurch können sensible Daten wie Passwort-Hashes, Zwei-Faktor-Authentifizierungsgeheimnisse und persönliche Informationen abgerufen werden.
Betroffene Systeme
Die Schwachstelle betrifft verschiedene Versionen von Koha, einem Open-Source-Bibliotheksverwaltungssystem. Besonders gefährdet sind Installationen, bei denen Mitarbeiter mit Reports-Modulberechtigung beschäftigt sind.
Technische Details
Die Verwundbarkeit liegt in der Datei reports/acquisitions_stats.pl, genauer in der Funktion calculate(). Diese Funktion konstruiert SQL-WHERE-Klauseln durch direkte Interpolation von benutzergesteuerten Filter-Parametern aus HTTP-Requests.
Betroffen sind folgende Datenbankfelder:
- aqbasket.closedate
- aqorders.datereceived
- aqbooksellers.name
- items.homebranch
- items.ccode
- biblioitems.itemtype
- aqbudgets.budget_code
- aqorders.sort1
- aqorders.sort2
Das kritische Problem: Die generierten SQL-Statements werden ohne parametrisierte Abfragen (Prepared Statements mit bound parameters) direkt ausgeführt. Dies ermöglicht Attackern, beliebigen SQL-Code einzuschleusen.
Angreifer können auf sensible Tabellen zugreifen, einschließlich Borrowers (Bibliotheksnutzer mit Passwörtern), Passwort-Recovery-Daten, API-Keys und Session-Informationen.
Empfohlene Massnahmen
- Sofortiges Patchen aller betroffenen Koha-Installationen
- Einschränkung der Reports-Modulberechtigungen auf vertrauenswürdige Mitarbeiter
- Überprüfung von Datenbankzugriff-Logs auf verdächtige Aktivitäten
- Obligatorische Passwortänderung für alle Systembenutzer
- ĂśberprĂĽfung und Neuerstellung von API-Keys
Bewertung
CVSS-Score: 8.8 (High)
Diese Sicherheitslücke erfordert sofortige Aufmerksamkeit. Trotz Authentifizierungsanforderung ermöglicht sie umfassenden Zugriff auf kritische Datenbankinformationen. Die fehlende Patch-Verfügbarkeit erhöht das Risiko zusätzlich.
„`