IDOR-Sicherheitslücke: Fewo-Direkt ermöglichte Einblick in fremde Rechnungen

Bei dem Portal zu Vermittlung von Ferienwohnungen konnten durch simples Hochzählen in der URL fremde Rechnungen eingesehen werden.

Eine Recherche von veröffentlicht am
Fewo-Direkt wirbt mit der Vermietung von Strandhäusern und anderen Urlaubsdomizilen, doch beim Datenschutz mangelte es.
Fewo-Direkt wirbt mit der Vermietung von Strandhäusern und anderen Urlaubsdomizilen, doch beim Datenschutz mangelte es. (Bild: Max Pixel/CC0 1.0)

Beim Ferienwohnungsportal Fewo-Direkt sind zeitweise durch eine Sicherheitslücke Rechnungen anderer Kunden einsehbar gewesen. Die Ursache war simpel: In der URL zum Herunterladen von Rechnungen fand sich ein Dateipfad und der Dateiname enthielt eine Nummer. Durch Änderung dieser Nummer war dann der Zugriff auf fremde Rechnungen möglich.

Stellenmarkt
  1. Projektmanager für Prozessstandards & Digitale Produktion (w/m/d)
    Pro Projekte-GmbH & Co. KG, Düsseldorf
  2. Doktorand (m/w/d) Nachhaltige Fertigungsregelung - simulationsbasiert mit digitalem Zwilling ... (m/w/d)
    Technische Hochschule Ingolstadt, Ingolstadt
Detailsuche

Das Datenleck wurde von einem Leser von Golem.de entdeckt. Dieser meldete sich dann bei uns.

Wer bei Fewo-Direkt eine Wohnung bucht, erhält eine Rechnung über eine Servicegebühr für das Portal. In der URL findet sich ein Parameter invoicePath, der neben dem Datum als Pfad auch einen Dateinamen enthält, der mit einer Nummer endet. Durch einfaches Hoch- oder Herunterzählen dieser Nummer konnte auf fremde Rechnungen zugegriffen werden.

Wer also eine Buchung bei dem Portal durchführte, konnte daraufhin die Rechnungen anderer Kunden abrufen. Ohne eine entsprechende Buchung funktionierte der Zugriff nicht.

Rechnungen auch von anderen Anbietern abrufbar

Golem Karrierewelt
  1. Kubernetes Dive-in-Workshop: virtueller Drei-Tage-Workshop
    11.-13.10.2022, Virtuell
  2. Go für Einsteiger: virtueller Zwei-Tages-Workshop
    25./26.07.2022, Virtuell
Weitere IT-Trainings

Dabei war ein Zugriff sowohl auf die Rechnung von anderen Personen als auch auf Rechnungen von Ferienwohnungsanbietern möglich. Durch ein entsprechendes Korrelieren von Buchungsnummern hätte auch herausgefunden werden können, welche Ferienwohnung jemand buchte. Die Rechnungen enthalten neben der Adresse und den Rechnungsbeträgen auch Telefonnummer und E-Mail-Adresse der jeweiligen Person.

Wir haben Fewo-Direkt kontaktiert, die Sicherheitslücke wurde daraufhin geschlossen. Inzwischen ist der Zugriff nicht mehr möglich und führt zu einem HTTP-Fehler.

"Unsere Systeme wurden nicht verletzt und wir haben sofort Änderungen vorgenommen, die einen unbefugten Zugriff auf Rechnungen verhindern", teilte uns Fewo-Direkt-Sprecherin Susanne Dopp mit.

Hacking & Security: Das umfassende Handbuch. 2. aktualisierte Auflage des IT-Standardwerks (Deutsch) Gebundene Ausgabe

Sicherheitslücken wie diese werden auch als IDOR bezeichnet (Insecure Direct Object Reference). Dabei handelt es sich um eine Klasse von Problemen, bei denen Informationen über eine Kennung abgerufen werden, wobei versäumt wird, eine entsprechende Berechtigung des jeweiligen Nutzers zu prüfen.

Bitte aktivieren Sie Javascript.
Oder nutzen Sie das Golem-pur-Angebot
und lesen Golem.de
  • ohne Werbung
  • mit ausgeschaltetem Javascript
  • mit RSS-Volltext-Feed


Aktuell auf der Startseite von Golem.de
Wissenschaft
LHC hat drei neue exotische Teilchen entdeckt

Der sogenannte Teilchenzoo der Physik ist noch größer geworden. Die Wissenschaft hofft auf Bestätigung der Modelle zu deren internen Aufbau.

Wissenschaft: LHC hat drei neue exotische Teilchen entdeckt
Artikel
  1. Superior Continuous Torque: E-Motor von Mahle für Dauerbetrieb unter Stress
    Superior Continuous Torque
    E-Motor von Mahle für Dauerbetrieb unter Stress

    Mahle hat einen neuen Auto-Elektromotor entwickelt, der unbegrenzt lange unter hoher Last betrieben werden kann. Dies wird durch ein neues Kühlkonzept im Motor erreicht.

  2. Security: BSI beginnt Zertifizierung für 5G-Komponenten
    Security
    BSI beginnt Zertifizierung für 5G-Komponenten

    Eine schnelle und zuverlässige IT-Sicherheitsaussage für die geprüften Produkte, das verspricht das BSI. Doch welche Produkte sind betroffen?

  3. VW.OS: VW-Software soll einfach updatefähig und bezahlbar sein
    VW.OS
    VW-Software soll "einfach updatefähig" und bezahlbar sein

    Mit seiner Softwaresparte Cariad will VW ein einheitliches System mit vereinfachter Architektur erstellen.

Du willst dich mit Golem.de beruflich verändern oder weiterbilden?
Zum Stellenmarkt
Zur Akademie
Zum Coaching
  • Schnäppchen, Rabatte und Top-Angebote
    Die besten Deals des Tages
    Daily Deals • PS5 bestellbar • HP HyperX Gaming-Headset -40% • Corsair Wakü 234,90€ • Samsung Galaxy S20 128GB -36% • Audible -70% • MSI RTX 3080 12GB günstig wie nie: 948€ • AMD Ryzen 7 günstig wie nie: 259€ • Der beste 2.000€-Gaming-PC • CM 34" UWQHD 144 Hz günstig wie nie: 467,85€ [Werbung]
    •  /