openSIS Classic: Unsichere direkte Objektreferenz erlaubt Passwort-Reset für Administratoren
Zusammenfassung
openSIS Classic 9.3 enthält eine unsichere direkte Objektreferenz (IDOR, CWE-639) im Aktualisierungspfad für Schulinformationen. Ein authentifizierter Benutzer mit der integrierten Rolle Lehrperson kann über den Parameter staff_id einen beliebigen Mitarbeiterdatensatz auswählen und das Passwort dieses Kontos zurücksetzen. Da das Ziel auch ein Administratorkonto sein kann, kann sich der Angreifer als Administrator anmelden und auf administrative Funktionen und Daten zugreifen. Eine Interaktion mit dem Opfer ist nicht erforderlich.
Betroffen
- openSIS Classic 9.3 (OS4ED openSIS-Classic)
- Die Standardberechtigungen der Lehrerrolle reichen für den Angriff aus.
Behoben in
- Der Hersteller meldet eine Korrektur; aktualisieren Sie auf die neueste Version von openSIS Classic.
- Die genaue korrigierte Version ist in den Quellen nicht angegeben. Details finden Sie im Commit 24bb530391a67c114cd4fe3dff65da7e070f5ed1.
Umgehung
Unbekannt.
Ausnutzung
- Ein öffentlicher Proof of Concept ist verfügbar (Fluid-Attacks-Advisory).
- CISA SSVC: Exploitation none, Automatable no, Technical Impact total.
- Der Angriff erfordert ein gültiges Lehrerkonto.
Unsere Empfehlung
- Aktualisieren Sie openSIS Classic umgehend auf die neueste Version.
- Überprüfen Sie Lehrerkonten und entfernen Sie nicht benötigte Konten; prüfen Sie Administratorkonten auf unerwartete Passwortänderungen.
- Beschränken Sie die Berechtigungen der Lehrerrolle für Mitarbeiterinformationen und entziehen Sie Bearbeitungsrechte, wo sie nicht benötigt werden.
- Überwachen Sie die Protokolle auf Anfragen an das Mitarbeitermodul aus Lehrersitzungen.
- Stellen Sie sicher, dass auch die PHP-Installation auf dem Server aktualisiert wird, wie in der PHP-Sicherheitsmitteilung des Herstellers beschrieben.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Fluid Attacks advisory CVE-2026-91107 fluidattacks.com
- OS4ED openSIS-Classic repository github.com
- Fix commit 24bb530391a67c114cd4fe3dff65da7e070f5ed1 github.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 03:24.
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.