Datenschutz-Audits 2025/26

2025-05-15

Pen-Test

Low

VIA

Internes Security-Team (SLN)

• Keine ausnutzbaren Schwachstellen • 1× Info: SameSite-Cookie-Flag könnte strikter gesetzt werden

• OWASP Top 10 (Injection, XSS, CSRF, SSRF, IDOR) • API-Security (REST-Endpoints Tour-Disposition) • Eingabevalidierung Bemerkungs- und Adressfelder • Session- und Cookie-Konfiguration

• Session-Cookie auf SameSite=Strict gesetzt

VIA Web-Anwendung (Disposition, Tour-Management, Stammdaten) + Backend-API

Behoben

2025-07-22

Pen-Test

Low

myVIA

Internes Security-Team (SLN)

• Keine kritischen oder hohen Findings • 1× Low: Logout invalidiert Refresh-To ken nicht serverseitig (kurze Access-Token-TTL begrenzt Risiko)

• OWASP Top 10 (XSS, CSRF, Auth-Bypass, Open Redirect) • Authentifizierung & Sessions (OAuth2/OIDC, MFA, JWT) • Browser-Storage und Cookie-Konfiguration • Transport Security (TLS, HSTS, CSP)

• Server-seitige Token-Revocation Liste eingeführt

myVIA Web-App (Fahrgast-Portal: Login, Buchung, Fahrtenübersicht) + Backend-API

Behoben

2025-08-04

Fossa-Scan

High

VIA, myVIA, NovaHub

DevSecOps (CI/CD-Pipeline)

• 1× Critical: RCE-Risiko in lodash-template (CVE in transitive Dep, NovaHub-Backend)

• SCA – CVE in transitiver Dependency

• Hotfix-Release am gleichen Tag deployed (4 h Reaktionszeit) • Dependency entfernt, Ersatz-Library aufgenommen • FOSSA-Policy: Auto-Block für Critical im CI aktiviert

Alle Repositories – kontinuierlicher Scan, dokumentiert wegen neuem Critical-Finding

Sofort behoben

2025-09-23

Pen-Test

Low

NovaHub

Internes Security-Team (SLN)

• Keine kritischen Finding • 1× Medium: GraphQL Introspection in Prod aktiv • 1× Low: SAML AssertionConsumer ohne strikte Audience-Prüfung

• API-Security (REST, GraphQL, Webhooks) • Authentifizierung & Sessions (SSO, SAML, RBAC) • Mandantenisolation

• GraphQL Introspection in Prod deaktiviert, Depth-Limit gesetzt • SAML-Validierung verschärft (Audience, NotBefore/NotOnOrAfter)

NovaHub Web-App (Admin-/Integrations-Hub); Mandantenverwaltung, Webhooks, SSO

Behoben

2025-11-17

Pen-Test

Low

VIA

Internes Security-Team (SLN)

• Keine ausnutzbaren Schwachstellen • 1× Info: TLS 1.0/1.1 auf internem Load Balancer noch verfügbar (extern bereits deaktiviert)

• Authentifizierung & Sessions (Keycloak, Passwort-Policy, MFA) • Infrastruktur & Cloud (OTC-Konfiguration, IAM, S3, KMS) • Container-Hardening

• TLS-Mindestversion 1.2 auch intern erzwungen, alte Cipher entfernt

VIA Web-Anwendung + Backend-Infrastruktur (OTC Prod/Stage), Container, Session-Handling

Behoben

2025-12-09

Fossa-Scan

High

VIA, myVIA, NovaHub

DevSecOps (CI/CD-Pipeline)

• 1× High: Svelte Framework CVE (NovaHub-Backend, VIA-Backend)

• SCA – CVE in Svelte Framework

• Svelte-Patch am Folgetag eingespielt, Hotfix-Deploy in alle betroffenen Services

Alle Repositories – kontinuierlicher Scan, dokumentiert wegen neuem High-Finding

Sofort behoben

2026-01-19

Pen-Test

Low

myVIA

Internes Security-Team (SLN)

• Keine kritischen oder hohen Findings • 1× Low: Versions-Endpoint gibt Build-Hash zurück

• API-Security (Buchungs-API, Web-Push-API, Rate-Limiting) • Infrastruktur & Cloud (Container-Images, K8s, Secrets-Handling)

• Versions-/Health-Endpoint bereinigt

myVIA Web-App + Backend-API + Container-Infrastruktur; Web-Push-Notifications

Behoben

2026-04-23

Fossa-Scan

High

VIA, myVIA, NovaHub

DevSecOps (CI/CD-Pipeline)

• 1× High: axios-CVE in mehreren Frontends/Services

• SCA – CVE in axios (transitiv über mehrere Module)

• Library-Update am gleichen Tag in allen Services gemerged und deployed • Renovate-Bot-Regeln für sicherheitsrelevante Updates verschärft

Alle Repositories – kontinuierlicher Scan, dokumentiert wegen neuem High-Finding

Sofort behoben

2026-05-23

Pen-Test

Low

NovaHub

Internes Security-Team (SLN)

• Keine ausnutzbaren Schwachstellen • 1× Info: CSP könnte strikter (unsafe-inline entfernen)

• OWASP Top 10 (SSRF, CSP, Injection) • Infrastruktur & Cloud (K8s Pod Security, Network Policies)

• CSP auf nonce-basiert umgestellt

NovaHub Web-App + Webhook-Engine + K8s-Cluster (Prod)

Behoben

2026-08-14

Pen-Test

High

VIA,NovaHub

Internes Security-Team (SLN)

• Globale Angriffe auf OS-Repositories • keine Findings bei SLN

• Dependency-Injection Vulnerabilites

VIA, myVIA, NovaHub Frontends und Banckends

2026-10-21

Infrastruktur-Scan

High

SLN

Internes Security-Team (SLN), Claude-gestützter Infrastruktur-Scan

• VIA, myVIA, NovaHub (TypeScript/Node) nicht betroffen, kein PHP in den Produkt-Images • Keine Hinweise auf erfolgreiche Angriffe auf keinem System • 1× High: Alfa-Server (rein intern) – 19 VIA-Domains auf PHP 8.1 (kein Fix verfügbar), ownCloud 10.0.10 auf PHP 7.2 (nie ein Fix) • 1× High: K8s – Legacy-Print-Server via-print (PHP 8.1, Ubuntu 18.04) öffentlich über Ingress + NodePort, phpinfo-Seite exponiert • 1× High: Nextcloud-Snap mit PHP 8.4.26 • 1× Medium: Supportpal-Server – Plesk PHP 8.3.35, ungenutzte PHP 7.0–8.1 installiert, mod_php geladen

• Inventar aller PHP-Installationen (OS-Pakete, Plesk-Handler, Snaps, Docker-Images, K8s-Pods per exec) • Versions- und Patch-Stand gegen 8.2.35/8.3.36/8.4.27/8.5.12 • Prozess-Startzeiten nach Update (laufende Worker) • Kompromittierungs-Indikatoren: Shell-Kindprozesse von php-fpm/Apache, neue PHP-Dateien in Webroots, Exploit-Muster in Zugriffslogs • Öffentliche Erreichbarkeit (Ingress, NodePorts, Firewall)

21.10., 16–19 Uhr: • Supportpal: Plesk PHP 8.3.36 eingespielt, Domain von 7.4 auf 8.3 umgestellt, mod_php + OS-php-fpm deaktiviert, PHP 7.0–8.1 deinstalliert, Reboot auf Kernel 5.15.0-198 • Alfa: VIA-Domains + dev auf PHP 8.3.36 (dedicated FPM) migriert, Matomo 8.5.12, PHP auf 14 ungenutzten Domains abgeschaltet, PHP 7.3/7.4/8.1 deinstalliert; ownCloud (7.2) hinter nginx-IP-Whitelist (13 Team-IPs), Ablösung durch Nextcloud am 25.10.2026 • Nextcloud: 75 min offline (17:40–18:55), dann Snap 34.0.5snap3 mit PHP 8.4.27 aus candidate eingespielt, Update hinter temporärer iptables-Sperre durchgeführt • K8s via-print: auf 0 skaliert; 22.10. vom Team neu gebaut (Debian 13, PHP 8.5.12, phpinfo entfernt, expose_php off) und geprüft • Kunden-Changelog verfasst, Prüf-/Einspiel-Skripte für den Nextcloud-Snap angelegt

Gesamte Infrastruktur nach PHP2Shell (CVE-2026-109618 / CVE-2026-109619, CVSS 9.2, pre-auth RCE in PHP): 5 Server (Plesk Alfahosting, Plesk OTC Supportpal, Nextcloud OTC, Monitoring OTC, Jump-Host), Kubernetes-Cluster Telekom2 (215 Workloads, 50 Image-Repositories), alle Container

Sofort behoben

2026-10-21

Infrastruktur-Scan

High

NovaHub,myVIA,heyNova

Internes Security-Team (SLN), Claude-gestützter Repo-/Registry-Scan (rein lesend)

• Produktion nicht mehr betroffen: Backend- und Frontend-Image auf node:22-bookworm-slim mit NODE_VERSION=22.23.4 (Commit f7b52b97e, PR #1475, Prod-Build Run 39634692510 am 21.10. 16:25–16:37 UTC, Deploy 16:37 UTC) • Eingehend nicht exponiert: body-parser 1.20.3 kennt nur deflate/gzip/identity, br wird mit 415 abgewiesen; SvelteKit entpackt keine Bodies • Eigener Code ohne Brotli-Aufrufe; keine weiteren betroffenen Ökosysteme im Repo; CI löst immer neueste 22.x auf • 1× High (Restrisiko vor dem Fix): axios 1.10.0 entpackt br-Antworten automatisch; print_server_url ist eine frei setzbare Mandanten-Einstellung (MANAGE_PREFERENCES, PATCH /preferences) und wird in print.service.ts aufgerufen – auf ungepatchter Runtime Weg vom Mandanten-Admin zur Codeausführung im Backend-Prozess. In Prod durch 22.23.4 geschlossen • 1× Medium: Review-Umgebungen der PRs #1476, #1468, #1461 (und #1188 ohne Review-Image) bauen noch auf node:22-bullseye-slim = 22.23.2, also betroffen aber hinter interner IP-Allowlist, also nicht von außen erreichbar. Wird mit Feature-Merge verschwinden.

• SCA – Node-Runtime-Version in Dockerfiles, CI-Builds und Registry-Image-Config (NODE_VERSION) • Eingehende Angriffsfläche: Content-Encoding br in body-parser / NestJS / SvelteKit-Server • Eigener Code: Aufrufe von zlib.brotliDecompress / createBrotliDecompress • Ausgehende Angriffsfläche: automatische br-Dekomprimierung in axios/fetch und deren Ziele • Weitere Ökosysteme (pip brotli, Bun, .NET, npm brotli/brotli-wasm/fontkit) • CI-Runner (setup-node) und lokale Entwicklungsmaschine • Review-Umgebungen offener PRs

• 21.10.: Basis-Image von bullseye auf bookworm umgestellt (PR #1475), Prod-Build und Deploy am selben Tag, Image seitdem unverändert • Keine Codeänderung im Repo nötig • Offen: Autoren von #1476, #1468, #1461 mergen main, damit Dockerfile und Review-Image auf 22.23.4 wechseln (hinter IP-Allowlist, Instanzen nicht von außen erreichbar) • Optional, separates Ticket: print_server_url auf Allowlist bekannter Domains beschränken (Schutz gegen SSRF und künftige Decoder-Bugs) • Verifikation: kubectl -n nova exec deploy/<backend> -- node --version = v22.23.4; nach Main-Merge im CI-Log FROM node:22-bookworm-slim@sha256 prüfen

myVIA und NovaHub Backend + Frontend: Repository, node_modules, CI-Logs, Docker-Registry, Prod-Deployment im Namespace nova. Anlass: CVE-2026-111497 „Node2Shell“ – Out-of-Bounds-Write im Brotli-Decoder (Brotli 1.0.3–1.2.0, in Node.js gebündelt), CVSS 4.0: 9.2, RCE über manipulierte Brotli-Streams. Gepatcht: Node 22.23.4 / 24.22.1 / 26.12.1 vom 21.10.2026; Node 20 und älter ohne Fix

Sofort behoben