ePortfolio 1.0 Java Eingabeungültigkeit

VulDB: ePortfolio 1.0 Java Eingabeungültigkeit

Allgemein

scipID: 2893
Betroffen: ePortfolio Version 1.0
Veröffentlicht: 05.03.2007 (Stefan Friedli)
Risiko: kritisch
Eintrag: 83.6% komplett
Erstellt: 22.12.2006
Aktualisiert: 05.03.2007

Beschreibung

ePortfolio ist eine eBanking Applikation der TKS-Banking Solutions. Stefan Friedli fand diverse web-basierte Schwachstellen, die durch das komplette Fehlen einer serverseitigen Eingabevalidierung entstanden. Dies erlaubt es einem Angreifer durch den Einsatz eines lokalen Proxies wie WebScarab oder BurpProxy die implementierte JavaScript Validierung komplett zu umgehen und beliebige Daten zu übermitteln. In der Folge können diverse Angriffsfomen wie klassisches Phishing, Session Riding oder Cross-Site-Scripting umgesetzt werden.

Das komplette Fehlen serverseitiger Validierung von Eingabedaten ist im Anbetracht der heutigen Situation im Bereich der Webapplikationssicherheit nicht mehr tragbar. Entsprechend hoch ist auch das Angriffspotential auf die betroffenene Applikation, die baldmöglichst, wenn nötig in direktem Kontakt mit dem Hersteller, dagegen immunisiert werden sollte.