Ein kritisches Sicherheitsloch in N-able Passportal, einem verbreiteten Tool zur Verwaltung von Passwörtern und Zugangsdaten, hätte zahlreiche Unternehmen und deren Mitarbeiter gefährdet. Die Sicherheitsforscher entdeckten, dass Angreifer über eine geschickt manipulierte Website Passwort-Tresore auslesen konnten, ohne dass die Benutzer etwas davon bemerkt hätten.
N-able Passportal wird von vielen IT-Profis und Unternehmen eingesetzt, um Passwörter zentral und sicher zu speichern. Das Produkt wird häufig von IT-Abteilungen und IT-Dienstleistern verwendet, um Passwortrichtlinien durchzusetzen und die Sicherheit von Zugangsdaten zu verbessern. Die entdeckte Lücke unterminiert jedoch genau diesen Sicherheitszweck.
Das Prinzip des Angriffs war relativ einfach, aber sehr wirkungsvoll: Ein Angreifer hätte eine beliebige Website manipulieren können, um einen bösartigen Code einzuschleusen. Wenn ein Benutzer diese Website besuchte, während er Passportal in einem anderen Browser-Tab offen hatte, konnte der bösartige Code auf die Passwort-Tresore zugreifen und diese auslesen. Das passierte komplett im Hintergrund, ohne dass der Benutzer etwas merken würde.
Für Unternehmen und IT-Dienstleister bedeutet dies ein erhebliches Sicherheitsrisiko. Passwort-Manager sind kritische Sicherheitsinfrastruktur: Wenn diese kompromittiert sind, sind praktisch alle verwalteten Zugangsdaten gefährdet. Das könnte zu flächendeckenden Sicherheitsverstössen führen, bei denen sensible Systeme von Unbefugten zugänglich werden.
Der Sicherheitsforscher hat die Lücke verantwortungsvoll offengelegt. N-able hat hoffentlich bereits einen Patch bereitgestellt. KMU-Kunden sollten überprüfen, ob sie Passportal einsetzen und sicherstellen, dass sie sofort auf die neueste Version aktualisieren. Dies ist ein wichtiges Beispiel dafür, warum auch vertrauenswürdige Sicherheitstools regelmässig überprüft und aktualisiert werden müssen, um Risiken zu minimieren.