Bundesamt für Sicherheit in der Informationstechnik

G 5.182 Manipulation von Routen (Routing Detours)

SOAP -Nachrichten können unter Verwendung des Standards WS-Routing oder WS-Addressing Informationen über die Route enthalten, die die Nachricht durchlaufen soll. Dadurch können zum Beispiel Kommunikationsflüsse abgebildet werden, ebenso aber auch Geschäftsprozesse, indem zum Beispiel eine Bestellnachricht nacheinander an verschiedene Dienste (Verfügbarkeitsprüfung, Bezahlung, Bestellung) weitergereicht wird. Bei Verwendung von WS-Routing enthält die Nachricht dabei bereits die gesamte Abfolge von Zieladressen, bei WS-Addressing nur den jeweils nächsten Empfänger.

Gelingt es einem Angreifer, mit einem Man-in-the-Middle-Angriff (siehe auch G 5.143 Man-in-the-Middle-Angriff ) die SOAP-Nachrichten beim Versand oder auf dem Übertragungsweg zu manipulieren, so können dabei neben einer Veränderung der Nachrichteninhalte auch die eingebetteten Routing-Informationen verändert werden. Dadurch erhält der Angreifer Kontrolle über die weitere Verarbeitung der Nachricht. Mögliche Angriffe auf diesem Weg sind:

  • Der Angreifer kann die Route der SOAP -Nachricht um zusätzliche Systeme erweitern, die unter seiner eigenen Kontrolle sind. Beim Einsatz von WS-Routing ist es dabei gegebenenfalls sogar möglich, die Nachricht nach der Verarbeitung durch einen der vorgesehenen Services zurück an den Angreifer zu spielen. So könnte er zum Beispiel eine Preisangabe verringern, die Nachricht an den Bezahldienst leiten und von dort wieder an ein eigenes System, das die Manipulation rückgängig macht, bevor die Nachricht weiter an die nachgelagerten Services übergeben wird.
  • Der Angreifer kann die Übermittlung der SOAP -Nachricht an vorgesehene Services unterbinden. So kann zum Beispiel der Bezahlvorgang oder ein zwischengeschobener Prüfschritt ausgelassen werden, indem die Nachricht direkt an den nächsten vorgesehenen Service übermittelt wird.
  • Der Angreifer kann die Reihenfolge oder Abfolge der Services ändern, an die die Nachricht übermittelt wird. Je nach der Logik der Anwendungsarchitektur kann das Effekte haben, die vom Angreifer zu seinen Gunsten ausgenutzt werden.
  • Der Angreifer kann ungültige Adressen in die Route einbringen und damit Nachrichten unterdrücken oder Fehlerzustände hervorrufen (Denial of Service).

Stand: 14. EL Stand 2014

Hinweis zur Verwendung von Cookies

Um unsere Webseite für Sie optimal zu gestalten und fortlaufend verbessern zu können, verwenden wir Cookies. Durch die weitere Nutzung der Webseite stimmen Sie der Verwendung von Cookies zu. Weitere Informationen hierzu erhalten Sie in unserer Datenschutzerklärung.

OK