Decrypting company security

Für eine Unternehmen im Energiesektor wurden zwei Webapplikationen überprüft. Der Fokus lag dabei auf Angriffsmöglichkeiten, die sowohl interne als auch externe Accounts in diesen Webapplikation haben könnten.

Während des Tests wurden mehrere Cross-Site-Request-Forgery-Schwachstellen identifiziert. Mit CSRF-Angriffen können Befehle im Kontext des Opfers durchgeführt werden, sollte das Opfer auf einen manipulierten Link  klicken. Somit kann ein CSRF-Angriff, auf interne als auch auf extern registrierte User, zur Änderung des Account-Passworts durchgeführt werden. Dies hätte zur Folge, dass der Account des Opfers vollständig kompromittiert wird.

Um CSRF-Attacken zu verhindern, darf es nicht möglich sein, eine gültige Anfrage an die Webapplikation bereits im Vorfeld vorzubereiten. Meist wird dies mit einem Zufallswert sichergestellt, der sich mit jedem Aufruf ändert und auf Serverseite mit jeder erhaltenen Anfrage validiert wird.

Für ein Unternehmen im Gesundheitsbereich führten wir eine Sicherheitsüberprüfung der internen Backupinfrastruktur durch. Ziel dieses Tests war es die Konfiguration der Dienste sowie die Server, die der Backupinfrastruktur angehören, zu überprüfen.

Während der Überprüfung wurde der Port 161/tcp identifiziert auf dem ein SNMP-Endpunkt lief. Zusätzlich war es möglich, den Community String „public“ zu verwenden, um Informationen über Accountnamen, die laufenden Dienste sowie über das Betriebssystem    herauszufinden. Die identifizierte Betriebssystemversion war Microsoft Windows CE Version 6.0 (Build 0). Diese Embedded Version des Betriebssystems Windows wurde 2006 released und ist seit 2022 End-of-Life. In Zusammenhang mit anderen offenen Ports und damit verbundenen Schwachstellen wurde ein erhöhtes Risiko für dieses System konstatiert. Da es sich um ein Festplattenmanagement-System handelte, könnten erfolgreiche Angriffe Zugriff auf schützenwerte Daten des Unternehmens liefern.

Es wurde empfohlen, Dienste, die nicht verwendet werden, abzuschalten. Immer wieder kommt es uns während Penetration Tests unter, dass teilweise Endpunkte, die vor Jahren in Verwendung waren, nicht mehr verwendet werden, jedoch immer   noch die gleiche Konfiguration aufweisen. Sollten diese Endpunkte trotzdem verwendet werden, um z.B. Informationen über das System zu eine Monitoring-Anwendung zu schicken, muss der Dienst abgesichert werden, um das Auslesen von Informationen durch Dritte zu verhindern.   Zusätzlich empfahlen wir, alle Systeme auf dem aktuellsten Stand zu halten, um bereits bekannte Schwachstellen via Sicherheitspatches zu neutralisieren. Im konkreten Fall wurden auch die Erreichbarkeit der Dienste auf Netzwerkebene eingeschränkt, um das Risiko zu minimieren.

Für einen globalen Konzern wurde ein Re-Check einer Sicherheitsüberprüfung durchgeführt. Der Fokus lag dabei auf einer Anwendung, die komplexe Datenstrukturen visualisiert.

Bei einem Pentest-Re-Check (oder Retest) wird überprüft, ob die bei einem ersten Penetrationstest festgestellten Sicherheitsschwachstellen behoben wurden. Nachdem das Unternehmen Korrekturen vorgenommen hat, überprüfen die Testenden dieselben Bereiche erneut und überprüfen, ob die zuvor ausgenutzten Schwachstellen behoben wurden . Durch diese erneute Überprüfung wird sichergestellt, dass die Abhilfemaßnahmen wirksam waren und nicht versehentlich neue Schwachstellen eingeführt wurden. Re-Checks sind für die Aufrechterhaltung der Sicherheitslage und der Konformität unerlässlich, da sie bestätigen, dass das Risikoniveau gesenkt wurde. Ohne Re-Checks könnten ungelöste Schwachstellen fortbestehen, die Systeme ungeschützt bleiben und die Ziele und Investitionen der ursprünglichen Sicherheitsüberprüfung zunichtemachen.  

Nachdem diese Überprüfung durchgeführt wurde, wurden zusätzlich auch die Teile der Applikation untersucht, die im zuvor durchgeführten Penetrationstest keine Schwachstellen aufwiesen. Hierbei wurden mehrere Schwachstellen durch Reflected Cross-Site Scripting (XSS) identifiziert, welche es Angreifenden erlauben würde, sollten Opfer auf einen manipulierten Link klicken, Operationen im Kontext des Opfers auszuführen. Um Injektions-Schwachstellen wie XSS zu unterbinden, wird empfohlen, jeglichen Input in die Applikation zu verifizieren und die Spezialzeichen zu kodieren.