Frappe: Rechteausweitung zum System Manager über eine Dokumentaktion (CVE-2024-58390)

Was passiert ist

Frappe in Versionen vor 14.81.4 sowie 15.x vor 15.41.0 enthält eine Schwachstelle durch unsachgemäße Rechteverwaltung, die eine bestimmte Dokumentaktion betrifft. Ein Benutzer mit der Rolle Website User kann diese Dokumentaktion mit zusätzlichen Schritten kombinieren, um in der Frappe-Anwendung die Berechtigungen der Rolle System Manager zu erlangen.

Der CVSS-4.0-Score liegt bei 8,7 (hoch). Der Angriff kann über das Netzwerk erfolgen, erfordert geringe Berechtigungen und keine Benutzerinteraktion und hat hohe Auswirkungen auf die Vertraulichkeit, Integrität und Verfügbarkeit des anfälligen Systems. Der CVE-Eintrag beschreibt einen Weg zur Rechteausweitung nach erfolgter Authentifizierung und keine Kompromittierung aus der Ferne ohne vorherige Authentifizierung.

Die verlinkten Sicherheitshinweise geben nicht an, dass diese Schwachstelle aktiv ausgenutzt oder öffentlich bekannt gemacht wurde, und CISA KEV führt sie nicht auf.

Wer betroffen ist

Betroffen sind Frappe vor 14.81.4 sowie 15.0.0 bis ausschließlich 15.41.0. Prüfen Sie die Version des Frappe-Frameworks in Ihrer Umgebung. Relevanter Ausgangspunkt für die Rechteausweitung sind Konten mit der Rolle Website User, da der beschriebene Angriff bei dieser Rolle ansetzt.

Was jetzt zu tun ist

1. Aktualisieren Sie Frappe auf eine korrigierte Version: 14.81.4 für 14.x oder 15.41.0 für 15.x. Diese korrigierten Versionen sind in den Referenzen aufgeführt.
2. Prüfen Sie während der Vorbereitung des Updates, welche Konten über die Rolle Website User verfügen, und entfernen oder beschränken Sie diese Rolle, wo sie nicht erforderlich ist.
3. Prüfen Sie nach der Aktualisierung, welche Konten über die Rolle System Manager verfügen, und vergewissern Sie sich, dass alle diese Konten legitim sind.

Die Quellen beschreiben keine Problemumgehung; behandeln Sie die Versionsaktualisierung als Korrekturmaßnahme.

Über den Patch hinaus

Die Rechteausweitung von einem Benutzer mit der niedrig privilegierten Rolle Website User zur Rolle System Manager ist ein Missbrauch der Berechtigungen der Anwendung selbst; allein durch das Rotieren von Zugangsdaten lässt sich diese Lücke nicht schließen. Nach dem Einspielen des Sicherheitspatches können Sie mit Managed Detection and Response (MDR) die Konto- und Rollenänderungen überwachen, die auf diese Art von Missbrauch folgen. Mit Lieferkettenschutz & Third-Party Risk können Sie die in Ihrer Umgebung eingesetzten Frappe-Versionen verfolgen und nachvollziehen, wie schnell Korrekturen für die von Ihnen betriebenen Komponenten bereitgestellt werden.