Coders Conquer Security: Share & Learn-Reihe – LDAP-Injektionen

Die überwiegende Mehrheit der Computersysteme verwendet das Lightweight Directory Access Protocol (LDAP). Es dient dazu, verteilte Verzeichnisinformationsdienste über jedes Internet Protocol (IP)-Netzwerk zu verwalten. Im Grunde fungiert es also als eine Möglichkeit, den Überblick über Benutzer zu behalten.

LDAP wird häufig von Anwendungen als Authentifizierungsquelle genutzt, um zu prüfen, ob ein Benutzer die Berechtigung für bestimmte Aktionen hat, insbesondere in Bezug auf seine definierte Rolle innerhalb einer Organisation. So könnten beispielsweise nur Mitarbeiter der Buchhaltung auf die Buchhaltungssoftware des Unternehmens zugreifen. Anwendungen werden oft so programmiert, dass sie eine LDAP-Tabelle abfragen, um sicherzustellen, dass Benutzer innerhalb ihrer festgelegten Berechtigungen agieren.

Probleme können auftreten, wenn böswillige Benutzer eine LDAP-Abfrage manipulieren. Dadurch kann der empfangende Server dazu verleitet werden, ungültige Abfragen auszuführen, die normalerweise nicht zulässig wären, oder sogar unberechtigten Benutzern mit niedriger Sicherheitsstufe ohne Passwort Administratorzugriff zu gewähren.

LDAP-Injektionen können komplex sein, aber in dieser Folge lernen wir:

• Wie sie funktionieren
• Warum sie so gefährlich sind
• Wie Sie Abwehrmaßnahmen ergreifen können, um sie zu stoppen.

Wie nutzen Angreifer LDAP-Injektionen?

Einer der Gründe, warum LDAP-basierte Angriffe seit Jahren beliebt sind, ist die Tatsache, dass fast jedes Computersystem dieses Protokoll verwendet. LDAP ist Open-Source und funktioniert äußerst zuverlässig, weshalb bisher kaum Alternativen entwickelt wurden.

Im Kern ist LDAP eine Datenbank, die gültige Benutzer innerhalb eines IP-basierten Computersystems oder Netzwerks erfasst. Es ermöglicht Benutzern den Austausch von Informationen über Systeme, Netzwerke, Server, Anwendungen und sogar andere Benutzer im selben Netzwerk.

Informationen werden in LDAP in einer Art Datenbankzeile oder Datensatz gespeichert, dem sogenannten Distinguished Name, oft abgekürzt als DN. Jeder DN ist eindeutig. Hier ist ein Beispiel, wie ein DN für einen Mitarbeiter in der Buchhaltung einer großen Firma in Chicago aussehen könnte.

cn=James Smith, ou=Corporate Accounts, dc=Chicago, do=Parkview

Um die Eindeutigkeit jedes DN sicherzustellen, können verschiedene Zeichen wie "+", "/", "=" und einige andere zum Datensatz hinzugefügt werden. Auch Leerzeichen vor oder nach einem Datensatz können eingefügt werden, um sicherzustellen, dass selbst bei zwei Mitarbeitern namens James Smith in der Buchhaltung des Standorts Chicago Parkview jeder einen individuellen DN erhält.

Anwendungen nutzen LDAP im Allgemeinen, um Benutzern Abfragen zu bestimmten DNs zu ermöglichen – etwa wenn man den richtigen Ansprechpartner in der Gehaltsabrechnung sucht, um einen Fehler auf dem Gehaltsscheck zu klären. LDAP-Injektionen können auftreten, wenn vom Benutzer bereitgestellte Parameter in Suchanfragen nicht validiert werden. In diesem Fall können Hacker harmlose Suchanfragen manipulieren, um Authentifizierungsmechanismen zu umgehen oder zusätzliche beliebige Abfragen auszuführen. Dies kann den Server dazu verleiten, Ergebnisse anzuzeigen, die eigentlich nicht zugänglich sein sollten, wie etwa Benutzerpasswörter, oder sogar dazu führen, dass eine Anwendung Zugriff auf hochsichere Bereiche innerhalb des Netzwerks gewährt – mit oder ohne gültiges Passwort.

Warum sind LDAP-Injektionen so gefährlich?

Die größte Gefahr bei LDAP-Injektionen ist wahrscheinlich die weite Verbreitung des Protokolls in den meisten IP-Computernetzwerken weltweit. Es bietet Hackern einen einfachen Einstiegspunkt, um Informationen zu stehlen oder ihre Privilegien im Netzwerk auszuweiten. Kein geschulter Hacker wird es versäumen zu prüfen, ob LDAP-Injektionen möglich sind; daher müssen Sicherheitsteams sicherstellen, dass diese Lücken stets geschlossen sind.

Insbesondere sind etliche Anwendungen so programmiert, dass sie gültigen Benutzern helfen, begrenzte Informationen über Benutzer und Gruppen innerhalb einer Organisation oder andere in den DNs enthaltene Daten zu finden. Eine App könnte es beispielsweise jemandem ermöglichen, per LDAP nach den Kontaktdaten der Buchhalter in Chicago zu suchen, was unseren Freund James Smith aus dem obigen Beispiel liefern würde. Je nach Berechtigung ist dies wahrscheinlich eine völlig legitime Nutzung einer LDAP-Abfrage.

Die Gefahr entsteht, wenn ein böswilliger Benutzer ungefilterte Parameter zur Abfrage hinzufügen kann, wodurch die Art der Suche verändert und der Server dazu verleitet wird, Informationen preiszugeben, die normalerweise nicht zugänglich sein sollten. Durch das Hinzufügen einer Zeichenfolge wie user=* könnten Angreifer beispielsweise Informationen über jeden einzelnen Benutzer einer gesamten Organisation erhalten – etwas, das eigentlich niemals erlaubt sein sollte.

Bei Anwendungen, die LDAP zur Authentifizierung nutzen, kann das Problem sogar noch schwerwiegender sein. Angreifer können beispielsweise die Zeichenfolge (&) am Ende einer LDAP-Abfrage verwenden, um den Server glauben zu lassen, das Argument sei wahr. Wenn eine App LDAP zur Passwortvalidierung verwendet, könnte das Erzwingen eines "True"-Arguments durch eine LDAP-Injektion einem unbefugten Benutzer ermöglichen, sich ohne Passwort als Administrator am Netzwerk anzumelden.

LDAP-Injektionen als Sicherheitsrisiko in Ihrem Netzwerk vermeiden

Eine der besten Methoden zur Vermeidung von LDAP-Injektionen ist die Implementierung von Frameworks wie LINQtoAD oder anderen Lösungen, die speziell gegen solche Angriffe resistent sind. Dies ist möglicherweise nicht möglich, wenn ein Netzwerk bereits Anwendungen verwendet, die auf LDAP-Abfragen basieren. Dennoch ist es auch in diesem Fall ratsam, für jede neue Anwendung zukünftig injektionsresistente Frameworks einzusetzen.

Bestehende Anwendungen, die LDAP nutzen, können ebenfalls durch Whitelist-Validierung und Eingabebereinigung gegen Injektionen gehärtet werden. Beschränken Sie Benutzereingaben nach Möglichkeit auf eine begrenzte Menge vertrauenswürdiger Werte. Andernfalls sollten Benutzereingaben, die Teil einer LDAP-Abfrage sind, vorab bereinigt werden. Vergessen Sie dabei nicht GET- und POST-Parameter, Cookies sowie HTTP-Header, da diese ebenfalls als Angriffsvektoren dienen können. Schreiben Sie keine eigenen Funktionen zur Eingabebereinigung; verwenden Sie stattdessen eine bewährte, auf Sicherheit spezialisierte Bibliothek eines Drittanbieters oder integrierte Framework-APIs.

Über gezielte Korrekturen hinaus helfen bewährte IT-Praktiken, wie die Zuweisung der minimal erforderlichen Berechtigungen für LDAP-abfragende Anwendungen im Netzwerk. Sollte im Ernstfall dennoch eine LDAP-Injektion erfolgreich sein, wird der Schaden auf diese Weise begrenzt.

Weitere Informationen zu LDAP-Injektionen

Für weiterführende Informationen werfen Sie einen Blick auf den Artikel des OWASP zu LDAP-Injektionen oder das Cheat Sheet zur Injektionsprävention. Sie können Ihr neu erworbenes Wissen zur Verteidigung auch mit der kostenlosen Demo der Secure Code Warrior-Plattform testen, die Cybersicherheitsteams zu echten Cyber-Experten ausbildet. Um mehr über die Abwehr dieser Schwachstelle und eine ganze Reihe weiterer Bedrohungen zu erfahren, besuchen Sie den Secure Code Warrior-Blog.