Übersicht der Schwachstellen in HaloITSM CVE-2024-6203, CVE-2024-6202, CVE-2024-6201, CVE-2024-6200
Am 6. August 2024 wurde festgestellt, dass HaloITSM mehrere Schwachstellen aufweist, die insbesondere die Versionen bis 2.146.1 betreffen. Diese Schwachstellen können zu schwerwiegenden Sicherheitsrisiken führen, darunter Kontoübernahmen und unbefugter Zugriff. In diesem Blogbeitrag werden alle Schwachstellen, ihre Auswirkungen und die erforderlichen Patches zur Minderung dieser Risiken detailliert beschrieben.
CVE-2024-6203: Sicherheitslücke durch Kennwortrücksetzung
Die Sicherheitslücke **Password Reset Poisoning** ermöglicht es Angreifern, manipulierte Links zum Zurücksetzen des Passworts an bestehende HaloITSM-Benutzer zu senden, wenn sie die E-Mail-Adresse des Benutzers kennen. Wenn das Opfer auf den Link klickt, wird das Token zum Zurücksetzen des Passworts an den Angreifer weitergegeben, sodass dieser das Passwort des Opfers zurücksetzen und möglicherweise das Konto übernehmen kann. Diese Sicherheitslücke ist besonders gefährlich, da sie eine gängige Funktion vieler Webanwendungen ausnutzt – die Funktion zum Zurücksetzen des Passworts.
**Milderung**: Diese Sicherheitslücke wurde in den nach 2.146.1 veröffentlichten Versionen behoben. Patches sind ab Version 2.143.61 verfügbar.
CVE-2024-6202: Sicherheitslücke bei SAML-XML-Signaturverpackung
Die **SAML XML Signature Wrapping (XSW)**-Sicherheitslücke ermöglicht es anonymen Angreifern, sich als jeder beliebige HaloITSM-Benutzer auszugeben, indem sie dessen E-Mail-Adresse kennen. Dies kann zu unbefugtem Zugriff auf vertrauliche Informationen und Aktionen führen, die unter dem Deckmantel des imitierten Benutzers ausgeführt werden.
**Milderung**: Ähnlich wie die vorherige Sicherheitslücke wird dieses Problem in Versionen nach 2.146.1 mit Patches ab 2.143.61 behoben.
CVE-2024-6201: Sicherheitslücke bei Vorlageneinschleusung
Die **Template Injection**-Sicherheitslücke besteht in der E-Mail-Generierungs-Engine von HaloITSM. Dieser Fehler kann zum Abfluss vertraulicher Informationen führen, da Angreifer bösartige Vorlagen einschleusen können, die beliebigen Code ausführen oder vertrauliche Daten offenlegen.
**Milderung**: Diese Sicherheitslücke wurde in den nach 2.146.1 veröffentlichten Versionen behoben, Patches sind ab Version 2.143.61 verfügbar.
CVE-2024-6200: Gespeicherte Cross-Site-Scripting-Sicherheitslücke (XSS)
Die Sicherheitslücke **Stored XSS** ermöglicht es Angreifern, JavaScript-Code einzuschleusen, der Aktionen im Namen von Benutzern ausführt, die auf Tickets zugreifen. Dies kann zu verschiedenen bösartigen Aktivitäten führen, wie etwa Datendiebstahl oder nicht autorisierten Aktionen, die im Kontext des Benutzers ausgeführt werden.
**Milderung**: Diese Sicherheitslücke wurde auch in den Versionen nach 2.146.1 geschlossen, mit Fixes ab Version 2.143.61.
Abschluss
Die identifizierten Schwachstellen in HaloITSM-Versionen bis 2.146.1 stellen erhebliche Risiken für Benutzerkonten und vertrauliche Daten dar. Benutzern wird dringend empfohlen, auf die neuesten Versionen zu aktualisieren, um sicherzustellen, dass ihre Systeme vor diesen Schwachstellen geschützt sind. Regelmäßige Updates und Sicherheitsüberprüfungen sind wesentliche Praktiken zur Aufrechterhaltung der Integrität und Sicherheit von Softwareanwendungen.
Zitate:
[1] https://community.haloitsm.com/auth/forgot-password