You can not select more than 25 topics
Topics must start with a letter or number, can include dashes ('-') and can be up to 35 characters long.
67 lines
2.6 KiB
67 lines
2.6 KiB
<?xml version="1.0" encoding="UTF-8"?> |
|
<patch patch_id="2026-10-07"> |
|
<systeme> |
|
<system name="his1" codierung="utf8"/> |
|
<system name="superx" codierung="utf8"/> |
|
<system name="superx" codierung="iso"/> |
|
</systeme> |
|
|
|
|
|
<module name="kern" systeminfo_id="xxx" inst_from="xx"> |
|
<patch-description feature_id="380056">Sicherheitspatch Bearbeitungsrechte DBFORMS |
|
<ol><li> |
|
In SuperX konnten angemeldete Benutzer mit einem Sachgebietsrecht, dessen Bezeichnung mit „Bearbeitung“ oder „Administration“ begann, Berichtsmasken konfigurieren und dabei beliebige SQL-Statements auf der BI-Datenbank ausführen. |
|
</li> |
|
<li>Wenn ein angemeldeter BI-Administrator parallel eine nicht vertrauenswürdige Webseite aufruft, konnte diese SQL-Befehle auf der BI-Datenbank ausführen. (CSRF in Verbindung mit SQL-Injection). |
|
</li> |
|
</ol> |
|
Der Patch behebt beide Schwachstellen: |
|
<ol><li> |
|
Bearbeitungsformulare lassen sich von Nicht-Admins nur öffnen, wenn sie explizite Rechte auf das jew. Administrations-Sachgebiet haben. |
|
</li> |
|
<li>Die Möglichkeit zur SQL-Injection wurde entfernt. |
|
</li> |
|
</ol> |
|
</patch-description> |
|
|
|
<patch-test> |
|
<!-- Bisher nur sql erlaubt. Ergebnis muss 0 sein, um zu erlauben, dass der Patch eingespielt wird! --> |
|
<nativeaction sql="select 0 from xdummy where (select count(*) from db_version where his_system='kern') > 0 " scriptfile="" database=""/> |
|
</patch-test> |
|
|
|
<patch-data> |
|
|
|
<files> |
|
<file path="WEB-INF/conf/edustore/db/install/prozeduren/proc_get_dbform_right_pg.sql"><patch-description feature_id="380056">Korrektur Rechteprüfung DBFORMS</patch-description></file> |
|
<file path="edit/kern/show_html_content.jsp"><patch-description feature_id="380056">Anzeige Hochschul-Repository nur für Impressumg und Datenschutz-Seite</patch-description></file> |
|
<file path="WEB-INF/conf/edustore/db/module/kenn/schluesseltabellen/kenn_stg_astat.unl"><patch-description>Neue Fächergruppen im Bereich Studierende</patch-description></file> |
|
<file path="WEB-INF/conf/edustore/db/module/kenn/schluesseltabellen/trans_kenn_lfb_fg.sql"><patch-description>Neue Fächergruppen im Bereich Personal</patch-description></file> |
|
|
|
</files> |
|
|
|
<database name="superx"> |
|
<!-- TODO: hier können beliebige Elemente der normalen Modul-XML stehen--> |
|
<masken> |
|
|
|
</masken> |
|
</database> |
|
|
|
<upgrade> |
|
<upgrade-step> |
|
<action error="cont"> |
|
<nativeaction sql="" scriptfile="$SUPERX_DIR/db/install/prozeduren/proc_get_dbform_right_pg.sql" database="" /> |
|
<nativeaction sql="update sachgeb_dbform_bez set sachgebiete_id=122 where sachgebiete_id=121;" scriptfile="" database="" /> |
|
|
|
|
|
</action> |
|
|
|
</upgrade-step> |
|
</upgrade> |
|
|
|
</patch-data> |
|
|
|
</module> |
|
|
|
|
|
|
|
</patch>
|
|
|