OSCI-Transport: Schwachstellen könnten Behördenkommunikation gefährden

Zwei Schwachstellen in einem Programm der öffentlichen Verwaltung können unter Umständen dazu genutzt werden, die rechtssichere Signatur und Verschlüsselung von Behördenkommunikation zu umgehen. Ein Patch steht zwar zur Verfügung, wird aber nur langsam eingespielt.

Artikel veröffentlicht am ,
Schwachstellen in Softwarebibliothek machten Behörden möglicherweise angreifbar.
Schwachstellen in Softwarebibliothek machten Behörden möglicherweise angreifbar. (Bild: Yuri Samoilov / Flickr/CC-BY 2.0)

Die IT-Beratungsfirma SEC Consult meldet Schwachstellen in dem in der deutschen öffentlichen Verwaltung weit verbreiteten OSCI-Transportprotokoll. Mit diesem Programm können Behörden verschlüsselte und rechtssicher signierte Nachrichten untereinander oder auch mit externen Stellen austauschen.

Stellenmarkt
  1. Web-Entwicklerin/Web-Entwick- ler (m/w/d)
    Bundesamt für Familie und zivilgesellschaftliche Aufgaben, Köln
  2. Trainee IT SAP (m/w/d)
    CLAAS KGaA mbH, Harsewinkel
Detailsuche

Den Angaben zufolge soll es Angreifern über eine External Entity Injection (XXE) und eine Padding Oracle Attacke unter bestimmten Voraussetzungen möglich gewesen sein, sensible Server-Informationen auszuspähen, sowie gegebenenfalls signierte und verschlüsselte Nachrichten zu manipulieren oder zu entschlüsseln. Sowohl das Bundesamt für Sicherheit in der Informationstechnik (BSI) als auch die für die Software zuständige Koordinierungsstelle für IT-Standards (KoSIT) von Bund und Ländern haben die Schwachstellen bestätigt.

"Mehrere Schwachstellen in der OSCI-Transport-Bibliothek ermöglichen einem entfernten, einfach authentisierten Angreifer das Ausspähen sensitiver Informationen über das System eines Kommunikationspartners, als Man-in-the-Middle auch das Ausspähen sensitiver Informationen aus verschlüsselter Kommunikation, die Manipulation von signierten Transportdaten ohne Einfluss auf die Gültigkeit der Signatur und möglicherweise einen Denial-of-Service-Angriff", schreibt das BSI in einem Advisory (CB-K17/1100).

Alles nicht so schlimm?

Der externe Software-Dienstleister Governikus KG, der OSCI-Transport im Auftrag der KoSIT programmiert und betreut, widerspricht dagegen Meldungen, es habe ein sicherheitsrelevantes Problem mit der Bibliothek gegeben. "Das Advisory [von SEC Consult] stimmt so nicht", sagte eine Pressesprecherin von Governikus im Gespräch mit Golem.de. "Es gibt kein Problem in der deutschen E-Government-Infrastruktur." Die von den Entdeckern getestete Situation sei "kein Szenario, das in der Praxis so angewendet wird". Die beschriebenen Angriffe seien vollkommen theoretischer Natur und die von Governikus bereitgestellten Patches lediglich aus Vorsorge erstellt worden.

Golem Karrierewelt
  1. Entwicklung mit Unity auf der Microsoft HoloLens 2 Plattform: virtueller Zwei-Tage-Workshop
    07./08.06.2022, Virtuell
  2. Kubernetes Dive-in-Workshop: virtueller Drei-Tage-Workshop
    19.-21.07.2022, Virtuell
Weitere IT-Trainings

Man sei gleich nach Bekanntwerden der Ergebnisse Anfang 2017 mit dem Bundesamt für Sicherheit in der Informationstechnik (BSI), der Koordinierungsstelle für IT-Standards (KoSIT) und den betroffenen Behörden in einen offenen Austausch getreten. Alle Teilnehmer seien "sehr entspannt" gewesen und hätten das Problem als gering eingeschätzt. Laut SEC Consult hat es zwischen dem 16. Januar und dem 30. Juni in der Tat einen mehrfachen Austausch zwischen den Entdeckern der Schwachstelle, dem BSI und anderen Behörden gegeben. Dabei sei die Notwendigkeit, die Schwachstellen zu schließen, zu keinem Zeitpunkt in Frage gestellt worden.

Ungepatchte Version noch immer in Benutzung

Seit der Entdeckung der Schwachstellen sind fast sechs Monate vergangen und die fehlerbereinigte Version 1.7.1 der Bibliothek steht bereits seit März zur Verfügung. Obwohl die zuständige KoSIT explizit empfiehlt, die gepatchte Version einzuspielen, ist die alte Version 1.6.1 offenbar noch immer im Gebrauch. Laut Hersteller Governikus ist OSCI-Transport in Deutschland in 20 Behörden im Einsatz und möglicherweise hätte bisher lediglich die Hälfte den Patch eingespielt. Belastbare Zahlen gebe es aber wegen der dezentralen Verwaltungsstruktur nicht, sagte die Pressesprecherin.

Die Softwarebibliothek wird unter anderem im Bundesinnenministerium, den Meldeämtern und den Justizbehörden von Bund, Ländern und Kommunen verwendet. Die niedrige Patchrate könnte ein Hinweis darauf sein, dass die Schwachstelle nicht von allen Beteiligten ernst genommen wird. Oder auch dafür, dass eine manuelle und dezentrale Update-Verwaltung nur langsam funktioniert.

Der Hersteller Governikus denkt aller offiziellen Beschwichtigungen zum Trotz offenbar dennoch über Konsequenzen nach: Man überlege derzeit, externe Code-Audits für OSCI-Transport einzuführen, um solche Vorfälle in Zukunft zu verhindern.

Nachtrag vom 4. Juli 2017, 17:09 Uhr

Governikus hat inzwischen eine Presseerklärung veröffentlicht. Darin unterstreicht das Unternehmen seine Position, derzufolge die von SEC Consult vorgenommenen Tests "nicht in einer gemäß Einsatzempfehlungen aufgebauten Infrastruktur durchgeführt wurden." Das getestete Szenario entspreche keinem dem Unternehmen bekannten Einsatzszenario. "Es besteht unserer Meinung nach keine Veranlassung, aus den identifizierten und zwischenzeitlich behobenen möglichen Schwachstellen auf eine Gefährdung der deutschen E-Government-Infrastruktur zu schließen", so Governikus.

Bitte aktivieren Sie Javascript.
Oder nutzen Sie das Golem-pur-Angebot
und lesen Golem.de
  • ohne Werbung
  • mit ausgeschaltetem Javascript
  • mit RSS-Volltext-Feed


chefin 05. Jul 2017

Weils keine Rolle spielt wie alt etwas ist solange es funktioniert. Auch die Gefahr, das...



Aktuell auf der Startseite von Golem.de
"Macht mich einfach wahnsinnig"
Kelber beklagt digitale Inkompetenz von VW

Der Bundesdatenschutzbeauftragte Ulrich Kelber hat vor einem Jahr ein Elektroauto bei VW bestellt. Und seitdem nichts mehr davon gehört.

Macht mich einfach wahnsinnig: Kelber beklagt digitale Inkompetenz von VW
Artikel
  1. Unikate: Deutsche Post verkauft eine Milliarde Matrixcode-Briefmarken
    Unikate
    Deutsche Post verkauft eine Milliarde Matrixcode-Briefmarken

    Die Deutsche Post begann im Februar 2021, Briefmarken mit Matrixcode zu verkaufen. Nun wurden bereits eine Milliarde Stück verkauft.

  2. Telemetrie: Voyager 1 weiß wohl nicht, wo sie ist
    Telemetrie
    Voyager 1 weiß wohl nicht, wo sie ist

    Seit 1977 befindet sich die Raumsonde Voyager 1 auf ihrer Reise durchs All. Die neusten Daten scheinen einen falschen Standort anzuzeigen.

  3. Agile Softwareentwicklung: Einfach mal so drauflos programmiert?
    Agile Softwareentwicklung
    Einfach mal so drauflos programmiert?

    Ohne Scrum wäre das nicht passiert, heißt es oft, wenn etwas schiefgeht. Dabei ist es umgekehrt: Ohne agiles Arbeiten geht es nicht mehr. Doch es gibt drei fundamentale Missverständnisse.
    Von Frank Heckel

Du willst dich mit Golem.de beruflich verändern oder weiterbilden?
Zum Stellenmarkt
Zur Akademie
Zum Coaching
  • Schnäppchen, Rabatte und Top-Angebote
    Die besten Deals des Tages
    Daily Deals • Xbox Series X bestellbar • Samsung schenkt 19% MwSt. • MindStar (u. a. AMD Ryzen 9 5950X 488€) • Cyber Week: Jetzt alle Deals freigeschaltet • LG OLED TV 77" 62% günstiger: 1.749€ • Bis zu 35% auf MSI • Alternate (u. a. AKRacing Core EX SE Gaming-Stuhl 169€) [Werbung]
    •  /