Der Re-Test: Wie sicher sind Österreichs Parteien?

15. Oktober 2019

Die Sec-Research GmbH wurde 2015 in Österreich von Sebastian Bicchi gegründet und widmet sich ausschließlich dem Gebiet der Informationssicherheit. Unsere Erfahrung im Bereich Penetrationtesting und Red Team Assessment hilft uns IT-Systeme bereits mit passiv gewonnen Daten -wie in diesem Fall- oberflächlich einzuschätzen. Zu unseren Kunden zählen neben KMUs auch die größten Konzerne Österreichs.

Es handelt sich hierbei nicht um einen “Gratis Sicherheitstest” – die erwähnten Schwachstellen sind lediglich Auszüge der augenscheinlichen Sicherheitsprobleme!
Das Ausnutzen der hier gelisteten Sicherheitsprobleme ist strafbar und dieser Artikel soll keinerlei Aufforderung darstellen diese Schwachstellen auszunutzen!

Unser Bericht

Am 19.09.2019 veröffentlichten wir den Blog-Artikel Wie sicher sind Österreichs Parteien? über unsere Forschung und Erkenntnisse der IT-Sicherheit der diversen Parteien. Die futurezone und der Kurier nahmen das Thema auf und veröffentlichten sowohl im Print als auch online einen Artikel über die Erkentnisse. An dieser Stelle vielen Dank an Barbara Wimmer , den Kurier und die futurezone, die diesem Thema eine entsprechende Aufmerksamkeit zukommen ließen. Fast 2 Wochen nach der Wahl wollten wir nun wissen, wie es um die entdeckten Schwachstellen steht. Eine direkte Rückmeldung erhielten wir nur von den Neos, die die gefundenen Schwachstellen ausbesserten und sich für den Hinweis auf die Schwachstellen bedankten.

Rückmeldungen

Ausser von den Neos gab es keine direkte Rückmeldung an Sec-Research oder die beteiligten Personen. Die Neos bedankten sich für die Rückmeldung und besserten die gefundenen Schwachstellen relativ rasch aus. Das gefundene Jira wurde Offline genommen und weitere Verbesserungen durchgeführt. Auch im Gespräch sicherten die Neos weitere Verbesserungen zu – sehr vorbildlich.

Überprüfung der gefundenen Schwachstellen

Die im vorigen Bericht erwähnten Schwachstellen haben wir laufend überprüft – hier die Übersicht. Wie bereits erwähnt, handelt es sich hier nur um einen Auszug an Schwachstellen, keinen vollständigen Bericht.
Keinerlei erkennbare Änderungen gab es bei Grünen, FPÖ und Liste Jetzt. Neos, ÖVP und SPÖ haben begonnen die berichteten Schwachstellen zu beheben.

Ergebnisse im Detail

Folgend sind die Ergebnisse der erneuten Überprüfung im Detail beschrieben.

ÖVP

Bei der ÖVP waren im Rahmen des ersten Checks einige Systeme bereits Offline – hier gab es keine größeren Veränderungen. Das von uns gefundene TYPO3 Interface hielt jedoch eine Überraschung bereit. In dieser Meldung wurde das Update von TYPO3 angekündigt – offenbar nur für interne Mitglieder bestimmt. Das bedeutet einerseits, dass das von uns gefundene Interface noch aktiv war und benutzt wurde und andererseits, dass das Update geplant war oder durch den Bericht angestoßen wurde.

Re-Test: Schwachstellen / Konfiguration / Härtung

Während der Durchsicht der ÖVP Systeme fanden wir eine Menge an Schwachstellen, die Angriffe über das Internet oder im lokalen Netzwerk ermöglichen. Die Folgenden sollen hier nur auszugsweise genannt werden:

Kein durchgängiges TLS (Klassifizierung: Hoch): Die ÖVP hat begonnen die einzelnen Seiten via TLS zu schützen. Insbesondere die von uns genannten sind nicht mehr über HTTP erreichbar, sondern leiten auf HTTPS um.
Veraltete Systeme (Klassifizierung: Hoch): Hier beginnen augenscheinlich Update Prozesse. Ob die ÖVP die Kunst des Updates beherrscht, diese regelmäßig durchzuführen und dabei keine Systeme zu vergessen wird sich zeigen.
Keine durchgängige Härtung (Klassifizierung: Mittel): Kann zum jetzigen Zeitpunkt nicht beurteilt werden – wir werden unter Umständen in einem dritten Update versuchen den Status quo zu erfassen, sobald keine größeren Veränderungen mehr durchgeführt werden und unsere OSINT Quellen aktualisiert wurden.