OpenProject

OpenProject ist eine quelloffene, webbasierte Projektmanagement-Software. Vor Version 17.2.3 bettet der =n-Operator im Reporting-Modul Benutzereingaben ohne Parametrisierung direkt in SQL-WHERE-Klauseln ein. Dadurch ist eine SQL-Injection möglich. CVSS-Basiswert: 9.9 (Kritisch). Empfohlene Massnahme: auf OpenProject 17.2.3 oder neuer aktualisieren.

In OpenProject vor den Versionen 16.6.9, 17.0.6, 17.1.3 und 17.2.1 hat das Repositories-Modul aus Repositories angezeigte Dateinamen nicht korrekt maskiert. Ein Angreifer mit Push-Zugriff auf das Repository kann Commits mit Dateinamen erstellen, die HTML-Code enthalten, der ohne ausreichende Bereinigung in die Seite eingefuegt wird. Dies ermöglicht einen persistenten XSS-Angriff gegen alle Projektmitglieder, welche die Repositories-Seite mit dem praeparierten Changeset aufrufen. Die Versionen 16.6.9, 17.0.6, 17.1.3 und 17.2.1 beheben das Problem. CVSS-Basiswert: 9 (Kritisch). Empfohlene Massnahme: Aktualisierung auf die vom Hersteller bereitgestellte fehlerbereinigte Version.

OpenProject ist eine webbasierte Open-Source-Projektmanagement-Software. In Versionen vor 16.6.9, 17.0.6, 17.1.3 und 17.2.1 besteht eine SQL-Injection über den Namen eines benutzerdefinierten Felds: Wird dieses Feld in einem Cost Report verwendet, gelangt der Feldname ohne Bereinigung in die SQL-Abfrage. In Kombination mit einem weiteren Fehler im Repositories-Modul lässt sich damit ein Git-Repository an einen beliebigen Pfad auschecken und Ruby-Code einschleusen. Da benutzerdefinierte Felder nur von Administratoren angelegt werden können, ist die Angriffsflaeche etwas reduziert. CVSS-Basiswert: 9.1 (Kritisch). Empfohlene Massnahme: Aktualisierung auf 16.6.9, 17.0.6, 17.1.3 bzw. 17.2.1.

OpenProject ist eine quelloffene, webbasierte Projektmanagement-Software. In Versionen vor 16.6.7 und 17.0.3 besteht im Endpunkt für Repository-Änderungen eine Schwachstelle zum Schreiben beliebiger Dateien: Über einen präparierten rev-Wert lassen sich Kommandozeilen-Optionen in git log einschleusen, sodass Nutzer mit der Berechtigung :browse_repository beliebige Dateien anlegen oder überschreiben können. In Verbindung mit gezielt erstellten Commits führt dies bis zur Remote-Code-Ausführung und zum Zugriff auf vertrauliche Dateien ausserhalb von OpenProject. CVSS-Basiswert: 9.9 (Kritisch). Empfohlene Massnahme: Update auf Version 16.6.7 bzw. 17.0.3.

In OpenProject vor Version 16.6.4 besteht laut NVD eine Local-File-Read-Schwachstelle im PDF-Export von Arbeitspaketen. Durch Hochladen einer als PNG getarnten, präparierten SVG-Datei als Anhang kann ein Angreifer beim PDF-Export die Bildverarbeitung (ImageMagick) missbrauchen und beliebige lokale Dateien lesen, auf die der Anwendungsnutzer Zugriff hat. Der Angriff erfordert Rechte zum Hochladen von Anhängen. CVSS-Basiswert: 9.1 (Kritisch). Empfohlene Massnahme: auf Version 16.6.4 aktualisieren oder den bereitgestellten Patch anwenden.

OpenProject erlaubt vor Version 17.6.0 über den Endpoint PATCH /api/v3/work_packages/{id} und das Feld _links.fileLinks authentifizierten Benutzern mit der Berechtigung edit_work_packages eine Aktion, die laut Quelle über die vorgesehenen Rechte hinausgeht. CVSS-Basiswert: 7.6 (Hoch). Eine EPSS-Angabe liegt in den Quelldaten nicht vor. Die Schwachstelle ist nicht im CISA-KEV-Katalog gelistet.

In OpenProject vor Version 17.3.0 fehlt bei der 2FA-OTP-Verifizierung in der Aktion confirm_otp jegliche Rate-Limitierung, Sperrmechanik oder Zählung fehlgeschlagener Versuche; die Einstellung brute_force_block_after_failed_logins wirkt nur auf Passwort-Logins. Mit dem standardmässigen TOTP-Drift-Fenster von ±60 Sekunden, das rund fünf gültige Codes gleichzeitig zulässt, kann ein Angreifer mit bekanntem Passwort den sechsstelligen TOTP-Code mit etwa 5 bis 10 Versuchen pro Sekunde brute-forcen, erwartete Dauer rund 11 Stunden. Dieselbe Schwachstelle betrifft auch die Backup-Code-Verifizierung und ermöglicht damit eine vollständige Umgehung der Zwei-Faktor-Authentifizierung bei bekanntem Passwort. CVSS-Basiswert: 7.4 (Hoch). Empfohlene Massnahme: Auf Version 17.3.0 aktualisieren.

In OpenProject erlaubt der Endpunkt zum Herunterladen von Repository-Diffs beim Rendern einer einzelnen Revision über git show das Einschleusen von Kommandozeilenoptionen. Über einen präparierten rev-Wert kann ein Benutzer mit der Berechtigung browse_repository beliebige Dateien anlegen oder überschreiben, die der OpenProject-Prozess schreiben darf, was zu Datenverlust und Denial of Service führt. CVSS-Basiswert: 8.8 (Hoch). Empfohlene Massnahme: Update auf OpenProject 17.0.2 beziehungsweise 16.6.6.

Für die Echtzeit-Zusammenarbeit an Dokumenten führte OpenProject 17.0 einen Synchronisationsserver ein. Das Backend erzeugt ein Authentifizierungstoken, verschlüsselt es mit einem geteilten Geheimnis und übergibt es zusammen mit der Backend-URL an den Synchronisationsserver. Da der Server die Backend-URL nicht ordentlich prüft, sendet er das entschlüsselte Token an den ihm vorgegebenen Endpunkt. Ein Angreifer kann so ein anderweitig abgefangenes Token entschlüsseln lassen und einen Zugriffstoken erlangen, um im Namen des Opfers mit OpenProject zu interagieren. CVSS-Basiswert: 8.9 (Hoch). Empfohlene Massnahme: Aktualisierung auf OpenProject 17.0.2; als Workaround die Funktion für Echtzeit-Zusammenarbeit unter Einstellungen deaktivieren und den hocuspocus-Container abschalten.

OpenProject in den Versionen 16.3.0 bis 16.6.4 ist von einem gespeicherten Cross-Site-Scripting in der Roadmap-Ansicht betroffen. Da Projektnamen benutzergesteuert sind und vor der Ausgabe als html_safe nicht maskiert werden, kann HTML in einem Unterprojektnamen unverändert in die Seite eingeschleust werden. Das Problem wurde in den Versionen 16.6.5 und 17.0.0 durch das Setzen eines X-Content-Type-Options: nosniff-Headers entschärft. CVSS-Basiswert: 8.7 (Hoch). Empfohlene Massnahme: Aktualisierung auf Version 16.6.5 oder 17.0.0; wer nicht aktualisieren kann, sollte den nosniff-Header im vorgelagerten Webserver setzen.

OpenProject, eine quelloffene, webbasierte Projektmanagement-Software, erlaubt in Version 16.6.1 und darunter einem registrierten Administrator die Ausführung beliebiger Befehle, indem er den Sendmail-Binärpfad konfiguriert und eine Test-E-Mail versendet. Die Lücke ist ab Version 16.6.2 behoben. CVSS-Basiswert: 7.2 (Hoch).

OpenProject nutzt im Cost-Report-Feature die Abhängigkeit tablesorter, die bei ungeeigneter Konfiguration eine Stored-XSS-Schwachstelle über die {icon}-Substitution in Tabellen-Kopfzeilen ermöglicht. Der Angriff setzt die Berechtigungen „Edit work packages“ sowie „Add attachments“ voraus; über ein Ticket-Attachment kann JavaScript gespeichert und die CSP-Richtlinie der Anwendung umgangen werden. Ein Projekt-Admin könnte so versuchen, seine Rechte gegenüber einem System-Admin zu eskalieren. Die Schwachstelle ist in den Versionen 14.1.0, 14.0.2 und 13.4.2 behoben. CVSS-Basiswert: 7.6 (Hoch). Empfohlene Massnahme: auf eine der gepatchten Versionen aktualisieren.

OpenProject ist eine quelloffene, webbasierte Projektmanagement-Software. Vor Version 17.6.0 rendern die Endpunkte GET /api/v3/time_entries und GET /api/v3/cost_entries die Felder _links.workPackage.title und _links.workPackage.href. CVSS-Basiswert: 4.3 (Mittel). Die Schwachstelle ist nicht im CISA-KEV-Katalog gelistet. Eine Ausnutzungswahrscheinlichkeit (EPSS) liegt in den Quelldaten nicht vor.

OpenProject ist eine quelloffene, webbasierte Projektmanagement-Software. Vor Version 17.6.0 löste der Endpunkt GET /api/v3/custom_options/:id CustomOption-Datensätze anhand einer globalen numerischen ID auf. Dadurch konnten UserCustomField- und GroupCustomField-Datensätze über Instanzgrenzen hinweg abgerufen werden. CVSS-Basiswert: 4.3 (Mittel).