Sicherheitshinweise zu ERPNext und Frappe Framework aus Woche 45: Fehlende Autorisierungsprüfungen legen Daten modulübergreifend offen

Was passiert ist

Die zehn Sicherheitshinweise beschreiben fehlende oder unvollständige Autorisierungsprüfungen in ERPNext sowie eine Schwachstelle in Frappe Framework, die das Lesen beliebiger Dateien ermöglicht. Die betroffenen Endpunkte, Berichte und Formulare prüfen nur eine allgemeine Rollen- oder Dokumenttypberechtigung, statt zu verifizieren, dass der authentifizierte Aufrufer auf den konkret angeforderten Datensatz zugreifen darf. Jede dieser Schwachstellen ist über das Netzwerk erreichbar, erfordert keine Benutzerinteraktion und setzt nur ein authentifiziertes Konto voraus. In mehreren Fällen kann es sich dabei um einen Benutzer mit geringen Berechtigungen, einen Portalbenutzer oder einen Benutzer ohne zugewiesene Rollen handeln.

Ein Angreifer kann über Zahlungsanforderungen Quelldokumente lesen, außerdem E-Mail-Kommunikation in CRM und Support, private E-Rechnungsdateien im Modul Regional, vollständige Verkaufsbelege und Angebotsanfragen (RFQs) über Listen im Kunden- und Lieferantenportal sowie Kundendokumente über Druck- und Portalansichten. Außerdem kann er Zeilen aus untergeordneten Tabellen (Child Tables) von Transaktionen lesen.

Eine separate Schwachstelle in Frappe Framework ermöglicht authentifizierten Benutzern, über die Verarbeitung von Dateianhängen beliebige Dateien zu lesen. Einige der Schwachstellen ermöglichen zudem Veränderungen: das Ersetzen von Stücklisten (BOMs) in der gesamten Instanz, das Stornieren von Bestandsreservierungseinträgen (Stock Reservation Entries) sowie eine Reihe zustandsändernder Endpunkte, von denen einige durch Cross-Site-Anfragen ausgelöst werden können.

In den Sicherheitshinweisen wird keine Ausnutzung dokumentiert. Der Hersteller gibt an, dass keine Problemumgehung verfügbar ist und ein Upgrade erforderlich ist.

Wer betroffen ist

ERPNext ist das hauptsächlich betroffene Produkt. Alle 15.x-Versionen vor 15.124.2 und alle 16.x-Versionen vor 16.53.0 enthalten mindestens eine der in diesem Paket beschriebenen Schwachstellen. Welche Versionen im Einzelnen als korrigiert gelten, unterscheidet sich je nach Sicherheitshinweis; zu den früheren Korrekturen gehören 15.121.4, 15.122.0, 15.124.0, 16.36.0, 16.50.0 und 16.52.0. ERPNext-Installationen, die die Module Accounts, CRM, Support, Regional oder Manufacturing, das Kundenportal, das Lieferantenportal, Druck- und Portalansichten oder die Endpunkte für gemeinsam genutzte Dokumente verwenden, liegen im betroffenen Bereich. Frappe Framework 15.x vor 15.120.1 und 16.x vor 16.33.1 sind von der Schwachstelle zum Lesen beliebiger Dateien über Dateianhänge betroffen.

Was jetzt zu tun ist

1. Aktualisieren Sie ERPNext. Die zuletzt aufgeführten korrigierten Versionen sind 15.124.2 für den 15.x-Zweig und 16.53.0 für den 16.x-Zweig. Zu den früheren Korrekturen gehören je nach Sicherheitshinweis 15.121.4, 15.122.0, 15.124.0, 16.36.0, 16.50.0 und 16.52.0.
2. Aktualisieren Sie Frappe Framework mindestens auf Version 15.120.1 (15.x) oder 16.33.1 (16.x), um die Schwachstelle zum Lesen beliebiger Dateien bei der Verarbeitung von Dateianhängen zu schließen.
3. Betrachten Sie dies als Upgrade und nicht als reine Konfigurationsänderung. Der Hersteller hat für diese Schwachstellen keine Problemumgehung veröffentlicht; ein Upgrade ist erforderlich. Schränken Sie bis zum Einspielen der Sicherheitsupdates die Erreichbarkeit von ERPNext- und Frappe-Instanzen aus dem Netzwerk ein, insbesondere bei den Endpunkten des Kunden- und Lieferantenportals, und überprüfen Sie die Aktivitäten wie unten beschrieben.

Wie man es erkennt

Die Sicherheitshinweise enthalten keine Indikatoren für eine Kompromittierung. Überprüfen Sie die Audit-Protokolle von ERPNext und Frappe auf unerwartete Lesezugriffe auf Quelldokumente über Zahlungsanforderungen, auf CRM- oder Support-Kommunikation, auf das Herunterladen regionaler E-Rechnungsdateien, auf Kunden- und Verkaufsbeleglisten im Portal, auf Abfragen von Child-Table-Zeilen, auf das Ersetzen von Stücklisten (BOMs) oder Einträge im BOM-Update-Log sowie auf die Stornierung von Bestandsreservierungseinträgen durch Konten, die solche Aktionen normalerweise nicht ausführen.

Über den Patch hinaus

Da ERPNext in der Regel Finanz-, Bestands- und Preisdaten enthält, gehen diese fehlenden Autorisierungsprüfungen über das reine Einspielen eines Sicherheitspatches hinaus: Ein Insider oder ein kompromittiertes Konto mit geringen Berechtigungen kann Grenzen überschreiten, die das Berechtigungsmodell der Anwendung durchsetzen soll. Ein Penetrationstest und eine Härtungsprüfung durch die Implementierungs- und Bewertungsleistungen können bestätigen, dass die Berechtigungen auf Datensatzebene und die Portalexposition mit der von Ihnen vorgesehenen Aufgabentrennung übereinstimmen. Für Teams, die ERPNext oder Frappe Framework als Teil eines breiteren Spektrums an Lieferantensoftware betreiben, gehört das Verfolgen der Patch-Zyklen vorgelagerter Software in den Bereich Lieferkettenschutz und Drittparteienrisiko.