Mobile-Menu

OpenBSDBcrypt-Klasse erlaubt Passwort-Umgehung Fehlerhafte Hash-Prüfung von Bouncy Castle

Redakteur: Stephan Augsten

Forscher des Synopsys Cybersecurity Research Center, kurz CyrC, haben eine Schwachstelle in der OpenBSDBcrypt-Klasse von Bouncy Castle gemeldet. Passwort-Prüfungen lassen sich darüber durch Angreifer umgehen.

Anbieter zum Thema

SYNOPSYS GmbH
Eskenzi PR Limited
Eine Schwachstelle in der OpenBSDBcrypt-Klasse von Bouncy Castle ermöglicht es, Passwort-Abfragen zu umgehen.
Eine Schwachstelle in der OpenBSDBcrypt-Klasse von Bouncy Castle ermöglicht es, Passwort-Abfragen zu umgehen.
(© sasun Bughdaryan - stock.adobe.com)

In der „Common Vulnerabilities and Exposures“ findet sich ein Eintrag mit der Kennung CVE-2020-28052. Die darin gelistete Schwachstelle wurde von Synopsys entdeckt und betrifft die verbreitete Java-Kryptographie-Bibliothek Bouncy Castle, genauer gesagt die darin definierte OpenBSDBcrypt-Klasse. Diese implementiert den Bcrypt-Algorithmus für das Passwort-Hashing.

Das Problem wird durch eine fehlerhafte Prüfroutine in der Methode OpenBSDBcrypt.doCheckPassword verursacht. Der Code nutzt für die Prüfung eine indexOf()-Methode anstatt zu verifizieren, ob die Hashes wirklich Zeichen für Zeichen übereinstimmen. Eine Byte-für-Byte-Übereinstimmung wird nicht benötigt. Ein Angreifer muss Passwort-Eingaben nur so lange „brute-forcen“, bis der Bypass ausgelöst wird.

„Unsere Experimente zeigen, dass 20 Prozent der getesteten Passwörter innerhalb von 1.000 Versuchen erfolgreich umgangen wurden“, berichtet Synopsys. Einige Passwort-Hashes benötigten mehr Versuche, letztlich ließen sich aber alle Passwort-Abfragen mit genügend Versuchen täuschen. In seltenen Fällen war es sogar möglich, die Kennwort-Prüfung mit beliebigen Eingaben zu umgehen.

Betroffen sind die Bouncy-Castle-Versionen 1.66 und 1.65, frühere Versionen hingegen nicht. In Bouncy Castle 1.67 wurde das Problem behoben. Da Bouncy Castle eine Software-Bibliothek ist, die sich beliebig für Authentifizierungsprüfungen zum Beispiel in Webanwendungen und APIs einbinden lässt, fällt die CVSS-Risikobewertung mit 8.1 Punkten recht hoch aus.

Software-Anbieter und Entwickler, die die Bibliothek nutzen, sollten möglichst schnell auf das Release Bouncy Castle 1.67 oder später umstellen. Weitere Informationen zu der Schwachstelle finden sich auch bei Synopsys.

Jetzt Newsletter abonnieren

Täglich die wichtigsten Infos zu Softwareentwicklung und DevOps

Mit Klick auf „Newsletter abonnieren“ erkläre ich mich mit der Verarbeitung und Nutzung meiner Daten gemäß Einwilligungserklärung (bitte aufklappen für Details) einverstanden und akzeptiere die Nutzungsbedingungen. Weitere Informationen finde ich in unserer Datenschutzerklärung.

Aufklappen für Details zu Ihrer Einwilligung

(ID:47045325)

Weiterführende Inhalte