Laravel: Diebstahl der Datenbank Credentials möglich
Eine hochriskante Sicherheitslücke wurde in verschiedenen Versionen des beliebten Laravel Frameworks entdeckt, die es Angreifern ermöglicht, sensible Datenbankzugangsdaten auszuspähen. Die Schwachstelle, bekannt unter CVE-2024-29291, betrifft die Versionen 8.* bis 11.* und hat bereits zu Besorgnis in der Entwicklergemeinschaft geführt.
Die Lücke befindet sich im laravel.log-Komponenten des Frameworks. Durch einen speziell gestalteten Zugriff auf das Log-File können externe Angreifer Zugangsdaten zur Datenbank auslesen, was zu einem ernsthaften Informationsleck führt. Dieses Leck betrifft die Vertraulichkeit der Datenbank-Anmeldedaten, was es Angreifern ermöglicht, unbefugt Daten zu manipulieren oder abzurufen.
Ein einfacher Weg, diese Sicherheitslücke auszunutzen, wurde bereits dokumentiert und veröffentlicht:
- Man navigiere zu einer beliebigen Laravel-basierten Webseite.
- Anschließend öffne man die Datei
storage/logs/laravel.log. - Durch Suche nach dem Eintrag
PDO->__construct('mysql:host=kann man potentiell Zugangsdaten auffinden, die im Klartext gespeichert sind.
In einem dokumentierten Fall wurden die folgenden Daten in einer Log-Datei gefunden:
- Benutzername:
u... - Passwort:
p... - Host:
sql1...
Diese Informationen ermöglichen es einem Angreifer, sich direkt in die Datenbank einzuloggen und Zugriff zu erhalten.
Experten weisen darauf hin, dass diese Schwachstelle hauptsächlich Instanzen betrifft, die fehlkonfiguriert sind. Normalerweise sollte das Verzeichnis /storage auf /storage/app/public verlinkt sein, was durch das Laravel-Kommando php artisan storage:link erreicht wird. Der Fehler liegt darin, dass sensible Daten fälschlicherweise im laravel.log gespeichert werden, was nicht dem Standard entspricht.
Entwickler und Webadministratoren werden dringend dazu aufgefordert, ihre Laravel-Installationen zu überprüfen und sicherzustellen, dass keine sensitiven Informationen in Log-Dateien geschrieben werden. Noch ist kein Patch bekannt, der das verhindert.