Schwachstelle in Such-Seite des Bundeskriminalamts

Eine Such-Webseite des Bundeskriminalamts (BKA) wies eine Schwachstelle auf, über die sehr wahrscheinlich per SQL-Injection Zugriff auf die zugrunde liegende Datenbank möglich war. Ursache des Problems war offenbar die fehlende Filterung der übergebenen Parameter, die das zuständige PHP-Skript direkt in die SQL-Query einbaute. Ein Angreifer hätte damit möglicherweise direkten Zugriff auf die Datenbank gehabt.

Weitere Tests führte heise Security vorsichtshalber nicht durch. Die betroffene Seite infodok.bka.de ist seit der Benachrichtigung des BKA durch heise Security vor rund einer Woche nicht mehr erreichbar. Dem Anschein nach hat das BKA den Server komplett vom Netz genommen. Ein Stellungnahme des BKA steht trotz mehrmaliger Kontaktversuche indes noch aus.

Aufgefallen war das Problem einem Sicherheitsspezialisten mit dem Pseudonym "Karl Koch", der heise Security ein Skript zum Testen zur Verfügung stellte. Auf der Such-Seite waren die einzelnen Formular-Felder zwar bereits durch Drop-Down-Listen vordefiniert, durch einen selbst definierten POST-Request war es jedoch möglich, beliebige Parameter zu übergeben, für Tests etwa 'OR 1=1.

Bei derart trivialen Sicherheitslücken stellt sich die Frage, wie das BKA eine sichere Anbindung eines Bundestrojaners an die eigene Infrastruktur gewährleisten will. Schon zum Jahreswechsel unkte heise Security in seinem Blick durch die Glaskugel, dass es über ein fehlerhaftes PHP-Skript auf dem BKA-Webserver möglich war respektive sein wird, auf die Verzeichnisse zuzugreifen, in denen der Bundestrojaner seine gesammelten Daten ablegt. Den vollständigen Blick durch die Glaskugel gibt es hier: Das Jahr 2008: Rückblick durch die Glaskugel.

Siehe dazu auch:

• Giftspritze, SQL-Injection - Angriff und Abwehr, Hintergrundartikel auf heise Security

(dab)