Sicherheitslücken in SORMAS

SORMAS steht für „Surveillance, Outbreak Response Management and Analysis System“ und ist die von den Gesundheitsämtern eingesetzte Open-Source-Software zur Kontaktverfolgung. Das System ist weltweit zum Management von Epidemien im Einsatz. Es werden für gewöhnlich Namen, Adressen und Telefonnummern, Testergebnisse sowie Quarantäne-Anordnungen gesammelt. Sollten diese Informationen an die falschen Personen geraten oder manipuliert werden, hätte dies für die Betroffenen und für die gesamte Pandemiebekämpfung fatale Folgen.  

Bis Mitte März wurden ungesicherte Standard-Accounts bei der Installation angelegt und aktiviert. Die zugehörigen Passwörter standen festverdrahtet im Quellcode. Somit konnte sich von außen über das Internet in die Systeme eingeklinkt und nach Belieben Personendaten ausgelesen, verändert oder gar gelöscht werden. 

Diese Standard-Accounts mit statischen Passwörtern stellen einen Verstoß gegen das „Security by Default“-Paradigma.  

Ende Februar erklärte das HZI, dass es das Problem nicht als Sicherheitslücke einstuft. Die Update-Hinweise erklären, dass die automatisch angelegten Konten lediglich Demo- oder Testzwecken dienen. Admins sind dazu angehalten, die Konten auf Produktivsystemen selbständig zu entfernen oder die Passwörter zu ändern.  

Laut HZI sind deutsche Gesundheitsämter nicht betroffen. 336 Ämter beantragen die SORMAS-Instanzen über das mit dem RKI konzipierte Projekt SORMAS@DEMIS, welches von einem IT-Dienstleister installiert und zentral betrieben wird. Diese werden grundsätzlich ohne Standard-Accounts aufgesetzt. 

Die HZI-Entwickler reagieren auf die Hinweise und änderten die SORMAS-Konfiguration so, dass bei zukünftigen Neuinstallationen keine Default-Logins mehr angelegt werden. Mit dem Release 1.58 im März wurde die Änderung veröffentlicht. An den bestehenden Installationen ändert sich hierdurch allerdings nichts.  

Verbleibende Probleme, wie die standardmäßig angelegten Passwörter für Admin-Kontos, wurden erst in der SORMAS-Version 1.59 gefixt. Bei vorhandenen Default-Logins oder Standardpasswörtern werden SORMAS-Nutzer nun gewarnt und es werden Passwortwechsel für die betroffenen Konten erzwungen.  

Betreiber von SORMAS sollten darauf achten, dass sie alle Standardpasswörter geändert haben und stets die neuste Version – aktuell 1.59 auf GitHub – einsetzen, um mögliche Sicherheitslücken zu schließen, bevor Angreifer sie ausnutzen.