„`html
Zusammenfassung
In OpenSignLabs OpenSign bis Version 2.37.0 existiert eine Insecure Direct Object Reference (IDOR) Schwachstelle. Diese ermöglicht es unauthentifizierten Angreifern, beliebige Kontaktdatensätze ĂĽber die Parse Cloud-Funktion „updatecontacttour“ zu manipulieren. Die Funktion fĂĽhrt keine Authentifizierung oder AutorisierungsprĂĽfungen durch, bevor Ă„nderungen an Kontaktdatensätzen vorgenommen werden.
Betroffene Systeme
OpenSignLabs OpenSign Version 2.37.0 und früher. Alle Implementierungen mit aktivierter Parse Cloud-Backend-Funktionalität sind gefährdet. Ein Patch ist derzeit nicht verfügbar.
Technische Details
Die Schwachstelle basiert auf einer fehlenden Zugriffskontrolle in der Cloud-Funktion „updatecontacttour“. Der Angreifer kann beliebige Kontakt-IDs als Parameter ĂĽbermitteln und ohne gĂĽltige Authentifizierungstoken Datensätze modifizieren. Dies ermöglicht:
- Korruption oder Ăśberschreibung von Kontaktdaten anderer Benutzer
- Massenmaniputationen durch automatisierte Anfragen
- Datenverlust oder Verfälschung kritischer Informationen
Der Angriffsvektor ist netzwerkbasiert; ein physischer Zugriff ist nicht erforderlich. Die CVSS-Bewertung von 7.5 reflektiert die hohe Auswirkung bei geringen Angriffsvoraussetzungen.
Empfohlene Massnahmen
- Sofortmassnahmen: Implementierung von API-Rate-Limiting auf Cloud-Funktionen
- Authentifizierung: Erzwingende Token-Validierung vor allen updatecontacttour-Anfragen
- Autorisierung: Implementierung von Ownership-Checks – Benutzer dürfen nur ihre eigenen Kontakte modifizieren
- Monitoring: Überwachung verdächtiger updatecontacttour-Aufrufe in Logs
- Upgrade: Regelmäßige Überprüfung auf Sicherheitspatches nach deren Verfügbarkeit
Bewertung
CVSS 7.5 (High): Die Schwachstelle ermöglicht unautorisierten Datenzugriff und -manipulation ohne Authentifizierung. Der fehlende Patch erhöht das Risiko. Betroffene Organisationen sollten umgehend Mitigationsmassnahmen implementieren und den Hersteller für Sicherheitsupdates kontaktieren.
„`