Nach dem Release können sich deaktivierte Nutzer wieder anmelden
portal.admin-soehne.example · Anmeldung im Kundenportal
CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:L/I:L/A:N
Beschreibung
Neu seit dem Testtag im Vormonat: Nach dem Umzug auf einen neuen Anmeldedienst können sich Konten wieder anmelden, die Geschäftskunden deaktiviert hatten, etwa von ausgeschiedenen Mitarbeitenden. Sie sehen Bestellungen und Preise ihrer früheren Firma und können offene Bestellungen ändern.
Reproduktion
- Im Kundenportal einen Testnutzer deaktivieren, wie es ein Geschäftskunde tun würde.
- Nach dem letzten Release mit diesem Testnutzer anmelden.
- Die Anmeldung gelingt, die Bestellungen der früheren Firma sind sichtbar.
Vormonat: deaktiviertes Testkonto → „Konto deaktiviert“
Dieser Monat: deaktiviertes Testkonto
→ angemeldet, Firmenbestellungen sichtbar
Änderung seit dem letzten Testtag: neuer AnmeldedienstGeschäftliche Auswirkung
Ehemalige Mitarbeitende, vielleicht inzwischen beim Wettbewerber, sehen aktuelle Bestellungen und Preise. Entdeckt nach Wochen, nicht erst beim Pentest im nächsten Jahr.
Empfehlung
Den Status „deaktiviert“ in den neuen Anmeldedienst übernehmen und die Konten dort sperren. Bei jeder Anfrage prüfen, ob das Konto noch aktiv ist. Einen Test mit einem deaktivierten Konto in die Release-Prüfung aufnehmen.
OWASP Top 10 2021: A07 Identification and Authentication Failures · CWE-613 (Insufficient Session Expiration) · CWE-285 (Improper Authorization)