Michael Leimer
leimer.name


ChurchTools-Sicherheitslücken

Diese Seite enthält eine Dokumentation über die mir entdeckten Sicherheitslücken in ChurchTools. Was ist ChurchTools? Dazu zitiere ich von der Homepage: "ChurchTools ist die ideal zugeschnittene Softwarelösung für die Kirche von heute. Die webbasierte Applikation ermöglicht es allen Beteiligten, jederzeit und von überall Kirche mitzugestalten."

ChurchTools war bis zur Version 3.55.3 anfällig für XSS (Cross-Site-Scripting). Diese Sicherheitlücken werden nun öffentlich gemacht, nachdem sie behoben wurden (Responsible Disclosure).

In ChurchTools war eine große Anzahl von Formularfeldern, in denen Zeichenketten eingegeben werden können, anfällig für Cross-Site-Scripting. Die gravierendste XSS-Sicherheitslücke gab es im ChurchTools-Wiki. Dadurch war im schlimmsten Fall auch ein Eindringen in eine ChurchTools-Installation von außen möglich. Innentäter, also die mit einem ChurchTools-Zugang, war es möglich, die Identität anderer Benutzer zu übernehmen oder ihre Rechte auszuweiten. Datendiebstahl und Verunstaltung der Anwendung war ebenfalls möglich.

Weitere Informationen zu den Sicherheitslücken (einschließlich Proof of Concept) findet man in den beiden Berichten, die ich dem ChurchTools-Support geschickte habe.

Chronologie

Zeitliche Reihenfolge über die Entdeckung der Sicherheitslücken und die Kommunikation mit dem Hersteller.

Ende Mai 2019

Zufällige Entdeckung einer kritischen Sicherheitslücke bei der Dateneingabe in ChurchTools. Weitere Tests bei weiteren Eingabefeldern führen zur Entdeckung der HTML-Injection-Sicherheitslücke. Es sind alle Versionen betroffen, einschließlich der Version 3.46.2.

1. Juni 2019

Erstellung eines Berichts über die Sicherheitslücken über XSS und HTML-Injection in ChurchTools. Der Bericht enthält Vorschläge zu Behebung der Sicherheitslücken.

2. Juni 2019

Meldung der kritischen Sicherheitslücke durch Übersendung des Berichts an den ChurchTools-Support.

3. Juni 2019

Die kritische Sicherheitslücke wird bestätigt. Hersteller verspricht, die kritische Sicherheitslücke "im Laufe der Woche" in Version 3.46.3 zu fixen. Die Behebung der weiteren Sicherheitslücken wird zugesagt: "Die anderen von Ihnen beschrieben Sicherheitslücken (Angriffe von innen) werden wir prüfen Maßnahmen zur Behebung und so schnell wie möglich innerhalb der nächsten Sprints fixen".

4. Juni 2019

Version 3.46.3 erscheint. Die kritische Sicherheitslücke ist behoben.

12. Dezember 2019

Erneute Untersuchung der gemeldeten Sicherheitslücke durch Angreifer von innen mit der aktuellen Version 3.53.0. Trotz der Zusage per E-Mail, die HTML-Injection-Sicherheitslücke bei diversen Eingabefeldern zu prüfen und zu fixen, ist wenig passiert. Der Fix durch Hersteller ist unzureichend, die Vorschläge zur Behebung wurden nicht umgesetzt. Defacement durch HTML-Injection ist weiterhin in im Bericht von Juni 2019 erwähnten Eingabefeldern möglich. XSS ist in einigen Felder weiterhin möglich.

13. Dezember 2019

Weitere Untersuchung des Fixes (clientseitigen Escaping). Dabei werden weiterere XSS-Eingabefelder entdeckt. Bei der Ausweitung der Test von Eingabefeldern wird eine gravierende XSS-Sicherheitslücke im Wiki entdeckt.

17. Dezember 2019

Erstellung eines zweiten Berichts.

20. Dezember 2019

Update des zweiten Berichts mit Version 3.54.0. Keine Änderungen zur Vorversion. Erneute Meldung der Sicherheitslücken an den Churchtools-Support inklusive Übersendung des zweiten Berichts per E-Mail. Es wird ein Responsible Disclosure vorgeschlagen, also die Veröffentlichung von Informationen zu den ChurchTools-Sicherheitslücken, nachdem sie behoben wurden - spätestens jedoch am 1. April 2020, selbst wenn die Lücken noch existieren. Der Support bestätigt den Eingang der E-Mail.

23. Dezember 2019

Die gemeldeten Sicherheitlücken werden bestätigt. Gleichzeitig wird eine zeitnahe Behebung der gravierenden Sicherheitlücke im Wiki zugesagt. Dem Responsible Disclosure wird zugestimmt, die Sicherheitlücken sollen bis Ende April 2020 behoben werden.

10. Januar 2020

Eine E-Mail vom Support kündigt an, dass die Lücke in Wiki in der Version 3.54.2 geschlossen wurde. Eigene schnelle Tests bestätigen das. Die XSS-Sicherheitlücken in den Eingabefeldern sind immer noch vorhanden.

3. März 2020

Mitteilung des Supports: Die "umfassende" Behebung der XSS-Sicherheitlücken ist mit Version 3.56.0 vorgenommen worden.

© 2020 Michael Leimer Impressum