🟠 CVE-2026-6428: High Schwachstelle

„`html

Zusammenfassung

Eine kritische SQL-Injection-Schwachstelle (CVE-2026-6428) wurde in der Koha Library Management Software identifiziert. Die Vulnerability mit einem CVSS-Score von 7.6 ermöglicht authentifizierten Benutzern mit Reports-Modul-Berechtigung, beliebige Daten aus der Anwendungsdatenbank auszulesen. Die Schwachstelle existiert seit 2008 und wurde trotz ähnlicher Patches in CVE-2015-4633 nicht vollständig behoben.

Betroffene Systeme

Vulnerable Versionen:

• Koha bis 22.11.37
• Koha 23.x (alle Versionen)
• Koha 24.x vor 24.11.16
• Koha 25.05.x vor 25.05.11
• Koha 25.11.x vor 25.11.05
• Koha 26.05.x vor 26.05.01
• Koha 26.11.x vor 26.11.00

Technische Details

Die Vulnerability liegt in der Datei reports/catalogue_out.pl in der Subroutine calculate. Der Filter-Parameter wird ohne Escaping oder Prepared Statements direkt in eine SQL-LIKE-Klausel konkateniert:

$strsth2 .= " AND $column LIKE '$f' ";

Angreifer können fehlerbasierte SQL-Injection durchführen und beispielsweise mittels EXTRACTVALUE-Funktionen Datenbankmetadaten und sensitive Informationen auslesen. Zugängliche Tabellen umfassen Borrower-Daten (Passwort-Hashes, 2FA-Secrets), API-Keys und Session-Informationen.

Empfohlene Massnahmen

Sofortmassnahmen:

• Upgrade auf gepatchte Versionen durchführen
• Zugriff auf Reports-Modul einschränken
• Datenbank-Logs auf verdächtige Abfragen überprüfen
• Administratorkennwörter und API-Keys zurücksetzen

Langfristig: Code-Review aller SQL-Statements in Legacy-Code durchführen und auf Prepared Statements migrieren.

Bewertung

Die Schwachstelle stellt eine ernsthafte Bedrohung dar, da sie nur schwach authentifizierte Zugriffe erfordert und vollständigen Lesezugriff auf sensitive Datenbank-Inhalte ermöglicht. Der verzögerte Patch trotz historischer CVE-2015-4633 zeigt Qualitätsprobleme.

„`