OSCI-Transport: Schwachstellen könnten Behördenkommunikation gefährden

Zwei Schwachstellen in einem Programm der öffentlichen Verwaltung können unter Umständen dazu genutzt werden, die rechtssichere Signatur und Verschlüsselung von Behördenkommunikation zu umgehen. Ein Patch steht zwar zur Verfügung, wird aber nur langsam eingespielt.

Artikel veröffentlicht am ,
Schwachstellen in Softwarebibliothek machten Behörden möglicherweise angreifbar.
Schwachstellen in Softwarebibliothek machten Behörden möglicherweise angreifbar. (Bild: Yuri Samoilov / Flickr/CC-BY 2.0)

Die IT-Beratungsfirma SEC Consult meldet Schwachstellen in dem in der deutschen öffentlichen Verwaltung weit verbreiteten OSCI-Transportprotokoll. Mit diesem Programm können Behörden verschlüsselte und rechtssicher signierte Nachrichten untereinander oder auch mit externen Stellen austauschen.

Stellenmarkt
  1. Junior Softwareentwickler (m/w / divers)
    biostep GmbH, Burkhardtsdorf
  2. IT-Techniker (m/w/d)
    ENERGY Radio NRJ GmbH, Hamburg, Berlin
Detailsuche

Den Angaben zufolge soll es Angreifern über eine External Entity Injection (XXE) und eine Padding Oracle Attacke unter bestimmten Voraussetzungen möglich gewesen sein, sensible Server-Informationen auszuspähen, sowie gegebenenfalls signierte und verschlüsselte Nachrichten zu manipulieren oder zu entschlüsseln. Sowohl das Bundesamt für Sicherheit in der Informationstechnik (BSI) als auch die für die Software zuständige Koordinierungsstelle für IT-Standards (KoSIT) von Bund und Ländern haben die Schwachstellen bestätigt.

"Mehrere Schwachstellen in der OSCI-Transport-Bibliothek ermöglichen einem entfernten, einfach authentisierten Angreifer das Ausspähen sensitiver Informationen über das System eines Kommunikationspartners, als Man-in-the-Middle auch das Ausspähen sensitiver Informationen aus verschlüsselter Kommunikation, die Manipulation von signierten Transportdaten ohne Einfluss auf die Gültigkeit der Signatur und möglicherweise einen Denial-of-Service-Angriff", schreibt das BSI in einem Advisory (CB-K17/1100).

Alles nicht so schlimm?

Der externe Software-Dienstleister Governikus KG, der OSCI-Transport im Auftrag der KoSIT programmiert und betreut, widerspricht dagegen Meldungen, es habe ein sicherheitsrelevantes Problem mit der Bibliothek gegeben. "Das Advisory [von SEC Consult] stimmt so nicht", sagte eine Pressesprecherin von Governikus im Gespräch mit Golem.de. "Es gibt kein Problem in der deutschen E-Government-Infrastruktur." Die von den Entdeckern getestete Situation sei "kein Szenario, das in der Praxis so angewendet wird". Die beschriebenen Angriffe seien vollkommen theoretischer Natur und die von Governikus bereitgestellten Patches lediglich aus Vorsorge erstellt worden.

Golem Akademie
  1. Penetration Testing Fundamentals
    23.-24. September 2021, online
  2. Microsoft 365 Security Workshop
    27.-29. Oktober 2021, Online
  3. IT-Fachseminare der Golem Akademie
    Live-Workshops zu Schlüsselqualifikationen
Weitere IT-Trainings

Man sei gleich nach Bekanntwerden der Ergebnisse Anfang 2017 mit dem Bundesamt für Sicherheit in der Informationstechnik (BSI), der Koordinierungsstelle für IT-Standards (KoSIT) und den betroffenen Behörden in einen offenen Austausch getreten. Alle Teilnehmer seien "sehr entspannt" gewesen und hätten das Problem als gering eingeschätzt. Laut SEC Consult hat es zwischen dem 16. Januar und dem 30. Juni in der Tat einen mehrfachen Austausch zwischen den Entdeckern der Schwachstelle, dem BSI und anderen Behörden gegeben. Dabei sei die Notwendigkeit, die Schwachstellen zu schließen, zu keinem Zeitpunkt in Frage gestellt worden.

Ungepatchte Version noch immer in Benutzung

Seit der Entdeckung der Schwachstellen sind fast sechs Monate vergangen und die fehlerbereinigte Version 1.7.1 der Bibliothek steht bereits seit März zur Verfügung. Obwohl die zuständige KoSIT explizit empfiehlt, die gepatchte Version einzuspielen, ist die alte Version 1.6.1 offenbar noch immer im Gebrauch. Laut Hersteller Governikus ist OSCI-Transport in Deutschland in 20 Behörden im Einsatz und möglicherweise hätte bisher lediglich die Hälfte den Patch eingespielt. Belastbare Zahlen gebe es aber wegen der dezentralen Verwaltungsstruktur nicht, sagte die Pressesprecherin.

Die Softwarebibliothek wird unter anderem im Bundesinnenministerium, den Meldeämtern und den Justizbehörden von Bund, Ländern und Kommunen verwendet. Die niedrige Patchrate könnte ein Hinweis darauf sein, dass die Schwachstelle nicht von allen Beteiligten ernst genommen wird. Oder auch dafür, dass eine manuelle und dezentrale Update-Verwaltung nur langsam funktioniert.

Der Hersteller Governikus denkt aller offiziellen Beschwichtigungen zum Trotz offenbar dennoch über Konsequenzen nach: Man überlege derzeit, externe Code-Audits für OSCI-Transport einzuführen, um solche Vorfälle in Zukunft zu verhindern.

Nachtrag vom 4. Juli 2017, 17:09 Uhr

Governikus hat inzwischen eine Presseerklärung veröffentlicht. Darin unterstreicht das Unternehmen seine Position, derzufolge die von SEC Consult vorgenommenen Tests "nicht in einer gemäß Einsatzempfehlungen aufgebauten Infrastruktur durchgeführt wurden." Das getestete Szenario entspreche keinem dem Unternehmen bekannten Einsatzszenario. "Es besteht unserer Meinung nach keine Veranlassung, aus den identifizierten und zwischenzeitlich behobenen möglichen Schwachstellen auf eine Gefährdung der deutschen E-Government-Infrastruktur zu schließen", so Governikus.

Bitte aktivieren Sie Javascript.
Oder nutzen Sie das Golem-pur-Angebot
und lesen Golem.de
  • ohne Werbung
  • mit ausgeschaltetem Javascript
  • mit RSS-Volltext-Feed


Aktuell auf der Startseite von Golem.de
Form Energy
Eisen-Luft-Akku soll Energiespeicherprobleme lösen

Mit Geld von Bill Gates und Jeff Bezos sollen große, billige Akkus Strom für mehrere Tage speichern. Kann die Technik liefern, was sie verspricht?
Eine Analyse von Frank Wunderlich-Pfeiffer

Form Energy: Eisen-Luft-Akku soll Energiespeicherprobleme lösen
Artikel
  1. Elektroautos: Amazon und Ford verhelfen Rivian zu weiteren Milliarden
    Elektroautos
    Amazon und Ford verhelfen Rivian zu weiteren Milliarden

    Der US-Elektroautohersteller Rivian hat weitere 2,5 Milliarden Dollar eingesammelt. Damit könnte ein zweiter Produktionsstandort gebaut werden.

  2. Brickit ausprobiert: Lego scannen einfach gemacht?
    Brickit ausprobiert
    Lego scannen einfach gemacht?

    Mit Kamera und Bilderkennung kann Brickit Lego digital einscannen. Das ist es aber nicht, was die App so praktisch macht.
    Ein Hands-on von Oliver Nickel

  3. Technologie: Ein Laser-Blitzableiter in den Alpen
    Technologie
    Ein Laser-Blitzableiter in den Alpen

    Flughäfen und andere große Anlagen können kaum vor Blitzeinschlägen geschützt werden. Ein Experiment mit einem Laser soll das ändern.

chefin 05. Jul 2017

Weils keine Rolle spielt wie alt etwas ist solange es funktioniert. Auch die Gefahr, das...



Du willst dich mit Golem.de beruflich verändern oder weiterbilden?
Zum Stellenmarkt
Zur Akademie
Zum Coaching
  • Schnäppchen, Rabatte und Top-Angebote
    Die besten Deals des Tages
    Schnäppchen • Bosch Professional Amazon-Exklusives günstiger • Samsung G7 27" QLED Curved WQHD 240Hz 459€ • Kingston Fury 32GB Kit 3200MHz 149,90€ • 3 für 2 & Sony-TV-Aktion bei MM • New World vorbestellbar ab 39,99€ • Alternate (u. a. Deepcool RGB LED-Streifen 10,99€) • Apple Days [Werbung]
    •  /