CVE-2026-48244: Hardcoded Google Maps API-Schlüssel in Open ISES Tickets

Zusammenfassung

In Open ISES Tickets vor Version 3.44.2 wurde ein hardcodierter Google Maps API-Schlüssel in der Datei settings.inc.php eingebettet und in das öffentliche Quellcode-Repository committed. Die Schwachstelle ermöglicht es unbefugten Personen mit Lesezugriff auf das Repository, den API-Schlüssel zu extrahieren und damit Google Maps Platform-Anfragen zu tätigen, die gegen das Google Cloud-Projekt des ursprünglichen Eigentümers abgerechnet werden.

Betroffene Systeme

• Open ISES Tickets vor Version 3.44.2
• Systeme mit offenen Git-Repositories
• Installationen mit Zugriff auf öffentliche Quellcode-Verwaltung

Technische Details

Angriffsvektor: Network (Netzwerk)

CVSS-Score: 5.3 (Medium)

Die Schwachstelle resultiert aus unsicheren Entwicklungspraktiken. Konfigurationsdateien mit sensiblen Anmeldeinformationen sollten niemals im Versionskontrollsystem committed werden. Der exponierte API-Schlüssel bietet Dritten die Möglichkeit, Anfragen an die Google Maps Platform zu stellen, ohne sich authentifizieren zu müssen, was zu unbefugter Ressourcennutzung und finanziellen Schäden führt.

Empfohlene Massnahmen

1. Sofortige Aktualisierung: Update auf Open ISES Tickets Version 3.44.2 oder höher durchführen
2. API-Schlüssel regenerieren: Neuen Google Maps API-Schlüssel in der Google Cloud Console erstellen
3. Repository-Bereinigung: Git-Historie überprüfen und Commits mit sensiblen Daten entfernen (git-filter-branch oder BFG Repo-Cleaner nutzen)
4. Zugriffskontrolle: API-Schlüssel auf spezifische IPs oder Referrer beschränken
5. Monitoring: Google Cloud-Abrechnungsberichte auf unerwartete Kosten überwachen
6. Best Practices: Umgebungsvariablen oder Secret-Management-Systeme für sensible Konfigurationen verwenden

Bewertung

Die Schwachstelle wird mit CVSS 5.3 als mittel bewertet. Das Expositionsrisiko ist erheblich, da der API-Schlüssel öffentlich zugänglich ist. Ein Patch wird derzeit nicht bereitgestellt; eine Workaround-Implementierung durch die oben beschriebenen Massnahmen ist erforderlich.