SuperX
/
kern
7
0
Fork 0
Code Issues 16 Pull Requests Projects Releases Wiki Activity
Labels Milestones
New Issue

Patch: in einigen Fällen Maskenbearbeitung möglich ohne Admin-Recht #17

Open
opened 18 hours ago by danielq · 1 comments
danielq commented 18 hours ago
Owner

Problem:

Unter bestimmten Umständen ist es möglich, dass Personen mit einer Nicht-BI-Admin-Rolle Berichtsmasken der BI bearbeiten können.
Beinhaltet eine Rolle das Recht auf ein Sachgebiet, dessen Name mit "Bearbeitung" oder "Administration" beginnt, dann kann man mit dieser Rolle Masken bearbeiten und speichern.

Ohne das Recht auf den Bericht "Maske suchen" muss man die zugehörige URL allerdings raten!
Das Recht auf den Bericht "Maske suchen" bzw. das Sachgebiet "Masken verwalten" haben wir in den ausgelieferten Daten keiner Rolle zugeordnet. D.h. über die Oberfläche kann im Normalfall nur die Rolle BI-Administrator/-in Berichte suchen und bearbeiten. Andere Rollen, die unbeabsichtigt die Berechtigung haben, müssen die URL erraten.

Außerdem bietet ein JSP Formular im KENN Modul eine Sicherheitslücke: Wenn ein angemeldeter BI-Administrator parallel eine nicht vertrauenswürdige Webseite aufruft, konnte diese SQL-Befehle auf der BI-Datenbank ausführen. (CSRF in Verbindung mit SQL-Injection).

Problem: Unter bestimmten Umständen ist es möglich, dass Personen mit einer Nicht-BI-Admin-Rolle Berichtsmasken der BI bearbeiten können. Beinhaltet eine Rolle das Recht auf ein Sachgebiet, dessen Name mit "Bearbeitung" oder "Administration" beginnt, dann kann man mit dieser Rolle Masken bearbeiten und speichern. Ohne das Recht auf den Bericht "Maske suchen" muss man die zugehörige URL allerdings raten! Das Recht auf den Bericht "Maske suchen" bzw. das Sachgebiet "Masken verwalten" haben wir in den ausgelieferten Daten keiner Rolle zugeordnet. D.h. über die Oberfläche kann im Normalfall nur die Rolle BI-Administrator/-in Berichte suchen und bearbeiten. Andere Rollen, die unbeabsichtigt die Berechtigung haben, müssen die URL erraten. Außerdem bietet ein JSP Formular im KENN Modul eine Sicherheitslücke: Wenn ein angemeldeter BI-Administrator parallel eine nicht vertrauenswürdige Webseite aufruft, konnte diese SQL-Befehle auf der BI-Datenbank ausführen. (CSRF in Verbindung mit SQL-Injection).
danielq commented 18 hours ago
Poster
Owner

Analoger Hotfix für HIS-Kund_innen: https://hiszilla.his.de/hiszilla/show_bug.cgi?id=380056

Analoger Hotfix für HIS-Kund_innen: https://hiszilla.his.de/hiszilla/show_bug.cgi?id=380056
Sign in to join this conversation.
No Branch/Tag Specified
Branches Tags
RELEASE_kern5.0
RELEASE_kern5.1
RELEASE_kern5.2
RELEASE_kern5.3
ak_tomcat10_test2
freiburg_nutzungsstatistik
kern5.0-HHU
kern_mfa
kern_tomcat10_test_his
master
userinfo_gueltigkeit
Labels
Apply labels
Clear labels
No items
No Label
Milestone
Set milestone
Clear milestone
No items
No Milestone
Projects
Clear projects
No project
Assignees
Assign users
Clear assignees
No Assignees
1 Participants
Notifications
Due Date

No due date set.

Dependencies

This issue currently doesn't have any dependencies.

Write Preview
Loading…
Cancel
Save
There is no content yet.
Delete Branch '%!s(MISSING)'

Deleting a branch is permanent. It CANNOT be undone. Continue?

No
Yes