Abo
  • Services:
Anzeige
Schwachstellen in Softwarebibliothek machten Behörden möglicherweise angreifbar.
Schwachstellen in Softwarebibliothek machten Behörden möglicherweise angreifbar. (Bild: Yuri Samoilov / Flickr/CC-BY 2.0)

OSCI-Transport: Schwachstellen könnten Behördenkommunikation gefährden

Schwachstellen in Softwarebibliothek machten Behörden möglicherweise angreifbar.
Schwachstellen in Softwarebibliothek machten Behörden möglicherweise angreifbar. (Bild: Yuri Samoilov / Flickr/CC-BY 2.0)

Zwei Schwachstellen in einem Programm der öffentlichen Verwaltung können unter Umständen dazu genutzt werden, die rechtssichere Signatur und Verschlüsselung von Behördenkommunikation zu umgehen. Ein Patch steht zwar zur Verfügung, wird aber nur langsam eingespielt.

Die IT-Beratungsfirma SEC Consult meldet Schwachstellen in dem in der deutschen öffentlichen Verwaltung weit verbreiteten OSCI-Transportprotokoll. Mit diesem Programm können Behörden verschlüsselte und rechtssicher signierte Nachrichten untereinander oder auch mit externen Stellen austauschen.

Anzeige

Den Angaben zufolge soll es Angreifern über eine External Entity Injection (XXE) und eine Padding Oracle Attacke unter bestimmten Voraussetzungen möglich gewesen sein, sensible Server-Informationen auszuspähen, sowie gegebenenfalls signierte und verschlüsselte Nachrichten zu manipulieren oder zu entschlüsseln. Sowohl das Bundesamt für Sicherheit in der Informationstechnik (BSI) als auch die für die Software zuständige Koordinierungsstelle für IT-Standards (KoSIT) von Bund und Ländern haben die Schwachstellen bestätigt.

"Mehrere Schwachstellen in der OSCI-Transport-Bibliothek ermöglichen einem entfernten, einfach authentisierten Angreifer das Ausspähen sensitiver Informationen über das System eines Kommunikationspartners, als Man-in-the-Middle auch das Ausspähen sensitiver Informationen aus verschlüsselter Kommunikation, die Manipulation von signierten Transportdaten ohne Einfluss auf die Gültigkeit der Signatur und möglicherweise einen Denial-of-Service-Angriff", schreibt das BSI in einem Advisory (CB-K17/1100).

Alles nicht so schlimm?

Der externe Software-Dienstleister Governikus KG, der OSCI-Transport im Auftrag der KoSIT programmiert und betreut, widerspricht dagegen Meldungen, es habe ein sicherheitsrelevantes Problem mit der Bibliothek gegeben. "Das Advisory [von SEC Consult] stimmt so nicht", sagte eine Pressesprecherin von Governikus im Gespräch mit Golem.de. "Es gibt kein Problem in der deutschen E-Government-Infrastruktur." Die von den Entdeckern getestete Situation sei "kein Szenario, das in der Praxis so angewendet wird". Die beschriebenen Angriffe seien vollkommen theoretischer Natur und die von Governikus bereitgestellten Patches lediglich aus Vorsorge erstellt worden.

Man sei gleich nach Bekanntwerden der Ergebnisse Anfang 2017 mit dem Bundesamt für Sicherheit in der Informationstechnik (BSI), der Koordinierungsstelle für IT-Standards (KoSIT) und den betroffenen Behörden in einen offenen Austausch getreten. Alle Teilnehmer seien "sehr entspannt" gewesen und hätten das Problem als gering eingeschätzt. Laut SEC Consult hat es zwischen dem 16. Januar und dem 30. Juni in der Tat einen mehrfachen Austausch zwischen den Entdeckern der Schwachstelle, dem BSI und anderen Behörden gegeben. Dabei sei die Notwendigkeit, die Schwachstellen zu schließen, zu keinem Zeitpunkt in Frage gestellt worden.

Ungepatchte Version noch immer in Benutzung

Seit der Entdeckung der Schwachstellen sind fast sechs Monate vergangen und die fehlerbereinigte Version 1.7.1 der Bibliothek steht bereits seit März zur Verfügung. Obwohl die zuständige KoSIT explizit empfiehlt, die gepatchte Version einzuspielen, ist die alte Version 1.6.1 offenbar noch immer im Gebrauch. Laut Hersteller Governikus ist OSCI-Transport in Deutschland in 20 Behörden im Einsatz und möglicherweise hätte bisher lediglich die Hälfte den Patch eingespielt. Belastbare Zahlen gebe es aber wegen der dezentralen Verwaltungsstruktur nicht, sagte die Pressesprecherin.

Die Softwarebibliothek wird unter anderem im Bundesinnenministerium, den Meldeämtern und den Justizbehörden von Bund, Ländern und Kommunen verwendet. Die niedrige Patchrate könnte ein Hinweis darauf sein, dass die Schwachstelle nicht von allen Beteiligten ernst genommen wird. Oder auch dafür, dass eine manuelle und dezentrale Update-Verwaltung nur langsam funktioniert.

Der Hersteller Governikus denkt aller offiziellen Beschwichtigungen zum Trotz offenbar dennoch über Konsequenzen nach: Man überlege derzeit, externe Code-Audits für OSCI-Transport einzuführen, um solche Vorfälle in Zukunft zu verhindern.

Nachtrag vom 4. Juli 2017, 17:09 Uhr

Governikus hat inzwischen eine Presseerklärung veröffentlicht. Darin unterstreicht das Unternehmen seine Position, derzufolge die von SEC Consult vorgenommenen Tests "nicht in einer gemäß Einsatzempfehlungen aufgebauten Infrastruktur durchgeführt wurden." Das getestete Szenario entspreche keinem dem Unternehmen bekannten Einsatzszenario. "Es besteht unserer Meinung nach keine Veranlassung, aus den identifizierten und zwischenzeitlich behobenen möglichen Schwachstellen auf eine Gefährdung der deutschen E-Government-Infrastruktur zu schließen", so Governikus.


eye home zur Startseite
chefin 05. Jul 2017

Weils keine Rolle spielt wie alt etwas ist solange es funktioniert. Auch die Gefahr, das...



Anzeige

Stellenmarkt
  1. DATAGROUP Köln GmbH, Essen
  2. Continental AG, München
  3. Ratbacher GmbH, Coburg
  4. ROHDE & SCHWARZ GmbH & Co. KG, München


Anzeige
Top-Angebote
  1. (u. a. Rayman Legends 8,99€, Rayman Origins 4,99€ und Syberia 3 14,80€)
  2. 199,90€ + 5,99€ Versand (Vergleichspreis ca. 235€)
  3. 88€ (Vergleichspreis ca. 119€)

Folgen Sie uns
       


  1. MacOS 10.13

    Apple gibt High Sierra frei

  2. WatchOS 4.0 im Test

    Apples praktische Taschenlampe mit autarkem Musikplayer

  3. Werksreset

    Unitymedia stellt Senderbelegung heute in Hessen um

  4. Aero 15 X

    Mehr Frames mit der GTX 1070 im neuen Gigabyte-Laptop

  5. Review Bombing

    Valve verbessert Transparenz bei Nutzerbewertungen auf Steam

  6. Big Four

    Kundendaten von Deloitte offenbar gehackt

  7. U2F

    Yubico bringt winzigen Yubikey für USB-C

  8. Windows 10

    Windows Store wird zum Microsoft Store mit Hardwareangeboten

  9. Kabelnetz

    Eazy senkt Preis für 50-MBit/s-Zugang im Unitymedia-Netz

  10. Nintendo

    Super Mario Run wird umfangreicher und günstiger



Haben wir etwas übersehen?

E-Mail an news@golem.de


Anzeige
Bundestagswahl 2017: Viagra, Datenbankpasswörter und uralte Sicherheitslücken
Bundestagswahl 2017
Viagra, Datenbankpasswörter und uralte Sicherheitslücken
  1. Bundestagswahl 2017 Union und SPD verlieren, Jamaika-Koalition rückt näher
  2. Zitis Wer Sicherheitslücken findet, darf sie behalten
  3. Merkel im Bundestag "Wir wollen nicht im Technikmuseum enden"

Olympus Tough TG5 vs. Nikon Coolpix W300: Die Schlechtwetter-Kameras
Olympus Tough TG5 vs. Nikon Coolpix W300
Die Schlechtwetter-Kameras
  1. Mobilestudio Pro 16 im Test Wacom nennt 2,2-Kilogramm-Grafiktablet "mobil"
  2. HP Z8 Workstation Mit 3 TByte RAM und 56 CPU-Kernen komplexe Bilder rendern
  3. Meeting Owl KI-Eule erkennt Teilnehmer in Meetings

VR: Was HTC, Microsoft und Oculus mit Autos zu tun haben
VR
Was HTC, Microsoft und Oculus mit Autos zu tun haben
  1. Zukunft des Autos "Unsere Elektrofahrzeuge sollen typische Porsche sein"
  2. Concept EQA Mercedes elektrifiziert die Kompaktklasse
  3. GLC F-Cell Mercedes stellt SUV mit Brennstoffzelle und Akku vor

  1. Re: Was ihnen Golem unterschlägt

    ManMashine | 21:02

  2. Re: Kritische Masse für die Berichterstattung

    dantist | 20:59

  3. Re: Das ist schon heftig.

    JouMxyzptlk | 20:59

  4. Re: ...und meinem Vermieter sag ich jetzt was?

    groupsi2beld | 20:58

  5. Re: Nutzen von ECC?

    robinx999 | 20:55


  1. 19:40

  2. 19:00

  3. 17:32

  4. 17:19

  5. 17:00

  6. 16:26

  7. 15:31

  8. 13:28


  1. Themen
  2. A
  3. B
  4. C
  5. D
  6. E
  7. F
  8. G
  9. H
  10. I
  11. J
  12. K
  13. L
  14. M
  15. N
  16. O
  17. P
  18. Q
  19. R
  20. S
  21. T
  22. U
  23. V
  24. W
  25. X
  26. Y
  27. Z
  28. #
 
    •  / 
    Zum Artikel