Gäste-WLAN reicht bis zum Dateiserver mit allen Scans
Besucher-WLAN „AS-Gast“ · Dateiserver 10.20.1.15 · Freigabe „Scans“
CVSS:3.1/AV:A/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
Beschreibung
Ein Laptop im Besucher-WLAN erreicht die Serverzone. Der Ordner „Scans“ dort öffnet sich ohne Passwort und enthält jedes Dokument, das die Bürodrucker gescannt haben. Besucher können die Dateien nicht nur lesen, sondern auch ändern und löschen.
Reproduktion
- Einen Testlaptop mit dem Gastpasswort vom Empfang ins Besucher-WLAN bringen.
- Feststellen, dass der Dateiserver in der Serverzone von dort erreichbar ist.
- Den Ordner „Scans“ ohne Passwort öffnen, eine harmlose Testdatei speichern und wieder löschen.
Testlaptop in „AS-Gast“ (Besucher-WLAN)
→ Dateiserver 10.20.1.15 erreichbar
Freigabe „Scans“: kein Passwort · Lesen = ja · Schreiben = ja
Inhalt: 18.400 Dateien (Ausweisscans, Verträge, Rechnungen)Geschäftliche Auswirkung
Jeder Besucher, Bewerber oder Dienstleister kann im Besprechungsraum Ausweiskopien, unterschriebene Verträge und Rechnungen kopieren oder verschlüsseln und löschen. Eine Datenpanne, die nach DSGVO binnen 72 Stunden gemeldet werden muss, und ein offener Weg für Ransomware in die Serverzone, ganz ohne Hackerwissen.
Empfehlung
Das Besucher-WLAN von allen internen Netzen trennen, sodass es nur ins Internet führt. Den Ordner „Scans“ mit einer Anmeldung schützen, auf die nötigen Personen beschränken und alte Scans regelmäßig löschen. Die übrigen Freigaben auf dieselbe Einstellung prüfen.
CWE-284 (Improper Access Control) · CWE-732 (Incorrect Permission Assignment for Critical Resource) · BSI IT-Grundschutz NET.1.1 (Netzarchitektur) · MITRE ATT&CK T1039 (Data from Network Shared Drive)