Datenpanne bei QUA-LiS NRW
Ungeschütztes PHP LDAP erlaubt Zugriff auf mehr als 16 Tsd. Benutzerkonten einer Active-Directory-Instanz.

Die Sicherheitsforscherin Lilith Wittmann entdeckte eine ungeschützte PHP LDAP Instanz des Ministeriums für Schule und Bildung des Landes Nordrhein-Westfalen (MSB NRW). Das System wird von der Landesanstalt für Schule und Bildung (QUA-LiS) betrieben. Bei der Anmeldeseite musste lediglich das Häckchen bei "Anonymous login" gesetzt werden, um auf die Oberfläche zu kommen. Über das Interface war der Zugriff auf Benutzerkonten eines Active Directory-Testsystems möglich. Laut Angaben von Wittmann und CCC-Mitglied Carl Fabian Lüpke (alias Flüpke) konnten mehr als 16 Tsd. Datensätze aus E-Mails, Benutzernamen und teilweise den Berufsbezeichnungen so von jedermann eingesehen werden.

In der Pressemitteilung des Ministeriums wird angegeben, dass nur 500 Nutzer betroffen seien. Wittmann antwortet bestätigend auf einen Tweet, in dem gefragt wurde, ob das Ministerium möglicherweise an der Pagination der API gescheitert sei.

Nachtrag vom 02.05.2023:

Das vom Ministerium Cybersecurity-Team des Beratungsunternehmens EY bestätigt die von Wittmann und Flüpke gefundenen Schwachstellen. Diese sollen schon jahrelang bestanden haben.

Nachtrag vom 04.05.2023:

Schulministerium Dorothee Feller erklärte, dass die die Sicherheitslücke seit mindestens 2019 bestanden hätte. Ein IT-Experte des Ministeriums räumt ein, dass Spuren darauf hinweisen, dass die Probleme mit ziemlicher Sicherheit schon seit 2015 bestünden. Vielleicht bestanden diese bereits bei der Einrichtung des Servers im Jahr 2002.