Achtung: Angriffe auf CKAN

Veröffentlicht am von

CKAN ist mittlerweile die Standard-Software im Bereich Open Data Portale. Die große Verbreitung hat leider aber auch ihre Schwächen. Angreifer haben viele Ziele, wenn erst einmal eine Schwachstelle gefunden ist. Führende Open Source Software Pakete leiden unter dem gleichen Problem, z.B. WordPress. MIt 14 Millionen Installationen weltweit werden kleinste Sicherheitslücken, wenn sie erst einmal gefunden sind, hemmungslos von Angreifern genutzt, um ihre Ziele zu erreichen. Das können sein:

  • Darstellung von eigenen Inhalten
  • Unbrauchbarmachung der Website
  • Einschleusing von eigenem Code, um die CPU für eigene Zwecke zu nutzen

Angriffe auf CKAN-Schwachstellen

Besonders der dritte Punkt macht in letzter zeit zunehmend CKAN-Installationen zu schaffen. Angreifer schleusen eigenen Code auf CKAN-Servern ein, damit die Server für Crypto-Mining-Zwecke verwendet werden können. Diese Art des CPU-Diebstahls ist besonders schwer zu erkennen, weil die benutzeroberfläche kein durch Benutzer leicht erkennbares Fehlverhalten aufweist.

Die Sicherheitslücke, die für solche Zwecke ausgenutzt wird, ist eine Komponente in CKAN, die für die Suchfunktion nach Datensätzen verantwortlich ist: Die Open Source Software Apache SOLR™. Bei SolR, ausgesprochen „Solar“, handelt es sich um eine komplexe, Open-Source-basierte Suchplattfom aus dem Apache-Lucene-Projekt. Die Software ist in Java geschrieben und stellt eine Vielzahl an Suchfunktionen bereit. Apache SOLR™ ist fehlertolerant und sehr gut skalierbar. Die Suchplattform eignet sich daher ideal für Anwendungen im CKAN/Big-Data-Umfeld. Für die Kommunikation setzt die Software das Hypertext Transfer Protocol (HTTP) ein. Über HTTP POST und HTTP GET lassen sich Abfragen ausführen und Dokumente erstellen. Lizenziert ist Apache SOLR™ unter Apache License 2.0 als Open Source Software. Dank einer großen Community an Entwicklern hat sich SolR als eine beliebte Alternative zu kommerziellen Suchplattformen und -lösungen etabliert.

In der aktuellen CKAN-Version 2.8.3 wird die stabile Version 6 von ist Apache SOLR™ eingesetzt.

Eine Schwachstelle, um Code in Apache SOLR™einzuschleusen, wird hier beschrieben. Die Schwachstelle ist bei höheren Versionen zwar in dieser Form nicht mehr vorhanden, ähnliche Schwachstellen gibt es auch in Version 8.

Es gibt Anleitungen, höhere Versionen von Apache SOLR™ wie die Version 6.5 zu nutzen. Das erfordert allerdings eine Abweichung von der Standard- „Paket“-Installation.

Angriffsabwehr

CKAN ist ein komplexes System mit zahlreichen Komponenten. Alle Komponenten können Gegenstand eines Angriffs sein und auf dem Sicherheits-Prüfstand stehen.

Wir empfehlen, CKAN-Installationen nach dem Minimalprinzipt zu konfigurieren und im Betrieb sorgfältig zu beobachten, um Schwachstellen frühzeitig zu erkennen. Sowohl das CKAN-Repository als auch Stackoverflow können dabei wertvolle Hilfen sein.

Verfügbare CKAN-Updates sollten kurzfristig eingesetzt werden. Welche CKAN-Versionen jeweils verfügbar sind, steht hier. Ob eine neue Version produktionstauglich ist und ab wann diese ggf. eingesetzt werden kann, muss jeweils zeitnah  analysiert und entschieden werden.

Zudem müssen die Konfigurationen der CKAN- und Apache SOLR™-Installationen aufeinander abgestimmt sein. Nicht alle Funktionen von Apache SOLR™ werden von CKAN benötigt. Diese können (und sollten) abgeschaltet werden.

Nicht zuletzt sollten CKAN-Installationen so wenig Ports wie möglich nach außen öffnen. Wenn CKAN hinter einem Proxy betrieben wird, kann einfach verborgen werden, was nicht für die Öffentlichkeit bestimmt ist. Diese Informationen hier geben Aufschluss darüber, welche Ports von CKAN insgesamt benutzt werden.

Sie haben eine CKAN-Instanz und wollen diese sicherer machen? Gerne stehen wir Ihnen zur Verfügung.