Schwache Authentifizierung der Druckansicht im Frappe-Framework legt Dokumente ohne Berechtigung offen (CVE-2023-54411)

Was passiert ist

Das Frappe-Framework vor Version 13.32.0 verwendet eine schwache Authentifizierung für den Zugriff auf die Druckansicht. Der Schlüssel für die Druckansicht kann aus Daten abgeleitet werden, die andere auf der Whitelist stehende API-Endpunkte offenlegen. Ein Angreifer, der die Anwendung erreichen kann, kann einen gültigen Schlüssel erzeugen und über die Druckansicht Dokumente einsehen, ohne die normalerweise erforderlichen Berechtigungen zu besitzen.

Die Schwachstelle wird als hoch eingestuft und weist in CVSS 4.0 einen Score von 8,2 auf. Sie ist über das Netzwerk ohne Berechtigungen und ohne Benutzerinteraktion erreichbar; die Angriffskomplexität ist jedoch hoch, und es liegt eine zusätzliche Angriffsvoraussetzung vor. Die Auswirkungen beschränken sich auf die Vertraulichkeit des Ziels. Der CVE-Eintrag enthält keine Hinweise auf eine aktive Ausnutzung oder eine öffentliche Offenlegung.

Wer betroffen ist

Betroffen ist das Frappe-Framework, alle Versionen vor 13.32.0. Organisationen, die ERPNext oder andere auf Frappe basierende Anwendungen betreiben, sollten die Version des zugrunde liegenden Frameworks prüfen, da der Mechanismus für den Zugriff auf die Druckansicht die anfällige Komponente ist. Alle Dokumenttypen, die über die Druckansicht erreichbar sind, sind bis zur Aktualisierung des Frameworks potenziell offengelegt.

Was jetzt zu tun ist

1. Aktualisieren Sie das Frappe-Framework auf Version 13.32.0. Dies ist die im CVE-Eintrag genannte korrigierte Version.
2. Im CVE-Eintrag ist kein Workaround aufgeführt. Beschränken Sie bis zur Aktualisierung den Netzwerkzugriff auf die Frappe-Anwendung und ihre Druckansichts-Endpunkte ausschließlich auf vertrauenswürdige Benutzerinnen und Benutzer sowie vertrauenswürdige Netzwerke.
3. Prüfen Sie, welche Konten und API-Clients auf die auf der Whitelist stehenden Endpunkte zugreifen können, über die Daten offengelegt werden, mit denen sich der Schlüssel für die Druckansicht ableiten lässt, und wenden Sie auf diese APIs das Prinzip der geringsten Rechte an.

Wie man es erkennt

Der CVE-Eintrag enthält keine vom Hersteller veröffentlichten Indikatoren für eine Kompromittierung. Prüfen Sie vorsorglich Zugriffe über die Druckansicht auf Dokumente, die das anfragende Konto nicht hätte öffnen dürfen, insbesondere wenn die Anfrage aus einer unerwarteten Quelle stammt.

Über den Patch hinaus

ERP-Plattformen wie ERPNext verarbeiten vertrauliche betriebliche und finanzielle Daten. Die Bedeutung einer Schwachstelle im zugrunde liegenden Framework geht daher über den unmittelbaren Sicherheitspatch hinaus. Es handelt sich zudem um ein Lieferkettenproblem: Die Korrektur kommt mit einem Release des Frappe-Frameworks, und das Zeitfenster der Exposition hängt davon ab, wie schnell Ihr Team Upstream-Updates einspielt. Mithilfe von Lieferkettenschutz & Drittanbieterrisiko behalten Sie den Überblick, welche Software von welchen Anbietern Sie einsetzen und wie schnell diese Anbieter Schwachstellen beheben. Wenn Sie nicht sicher sind, wo Ihre Frappe-Instanzen exponiert sind, unterstützen wir Sie mit Virtual CISO Services (vCISO) dabei, die Angriffsfläche zu erfassen und exponierte Bereiche zu priorisieren.