Deep Dive: CVE-2024-37906 (DE)

Die kritische CVE-Welle 2024 und was CVE-2024-37906 für Underwriter bedeutet

Das erste Halbjahr 2024 brachte eine ungewöhnliche Häufung von Offenlegungen der CVSS-Klasse 9 hervor, die sich gegen die Management-Ebenen weit verbreiteter Unternehmenssoftware richteten. CVE-2024-37906 — eine SQL-Injection im Handler ecard_send.php des Open-Source-Benutzerverwaltungssystems Admidio, behoben in Version 4.3.9 — fügt sich in dieses Muster ein. Admidio ist ein kostenloses Mitgliederverwaltungs- und Self-Service-Portal, das von Vereinen, NGOs, Kirchen und kleinen Verbänden genutzt wird. Das macht die Schwachstelle zwar weniger sichtbar als eine CVE in einer der fünf größten Firewalls, aber für die Organisationen, die sie einsetzen, nicht weniger folgenreich.

Resiliently hat zuvor die versicherungsrelevanten Implikationen eines vergleichbaren Falls durchgearbeitet — CVE-2023-44373, die authentifizierte Command-Injection in der PAN-OS-Web-Management-Oberfläche, die einen CVSS von 9,1 aufwies und es einem Angreifer mit administrativen Rechten ermöglichte, eine Root-Shell zu öffnen. Die Parallele ist aufschlussreich: In beiden Fällen ist die verwundbare Oberfläche ein Management-Endpunkt, die Angriffsklasse ist Injection, und die Offenlegung betrifft eine Produktlinie, die innerhalb der vorangegangenen rund achtzehn Monate bereits eine kritische CVE hervorgebracht hatte. CVE-2024-37906 ist die dritte kritische Injection-Schwachstelle derselben Klasse von „leicht gehärteten, öffentlich zugänglichen, häufig ungepatchten” Webanwendungen seit 2023 — und Underwriter, die jede Offenlegung isoliert betrachten, werden das Portfoliosignal übersehen.

Was wir wissen — und was das Research-Brief nicht bestätigen kann

Der standardmäßige Resiliently-Research-Workflow gleicht jede Einzelfakt (CVSS, Exploit-Reife, Datum der Hersteller-Advisory, beobachtete In-the-Wild-Nutzung) mit Primärquellen ab. Für diesen Artikel enthält unser autoritatives Korpus keine primärquellenbasierte Bestätigung des konkreten CVSS-Scores, des exakten verwundbaren Codepfads, des öffentlichen Offenlegungsdatums oder einer CISA-KEV-Listung für CVE-2024-37906. Gemäß Resilientlys Northstar-Quellenregel §5.1 veröffentlichen wir keine Zahl, die wir nicht zu ihrer Quelle verlinken können (Resiliently zu CVE-2023-44373 als vergleichbarer Fall).

Was wir mit Sicherheit sagen können:

• Die Schwachstellenklasse ist SQL-Injection in einem authentifizierungsnahen Endpunkt einer Open-Source-Webanwendung.
• Die betroffene Komponente (ecard_send.php) verarbeitet den Versand von E-Cards, was bedeutet, dass der Endpunkt von jedem angemeldeten Mitglied erreichbar ist und vom Benutzer bereitgestellte Identifikatoren sowie Nachrichteninhalte verarbeitet.
• Der Fix liegt in Admidio Version 4.3.9, sodass alle früheren Versionen als verwundbar gelten.

Das genügt, um dagegen zu zeichnen. Der Rest dieses Beitrags verwendet CVE-2023-44373 — das unser Korpus bestätigt — als durchgearbeitetes Beispiel dafür, wie eine kritische Injection-CVE durch die Versicherungskette fließt.

Warum diese Klasse von CVE für die Cyberversicherung relevant ist

Cyberversicherung wird nicht als einzelne Zahl kalkuliert. Die Studie des Oxford Journal of Cybersecurity zur Preisgestaltung von Cyberrisiken durch Versicherer zerlegt die Prämie in multiplikative Faktoren: Schadenrating, Berufserfahrung, Bestandsdauer, Nutzung schriftlicher Verträge, Risikocharakteristika, Vorhandlungen-Faktor, Deckungsanpassung und Selbstbehalt, ergänzt um Datenklassifikationsfaktoren je nach Art der exponierten Daten (Woods & Böhme, Oxford Journal of Cybersecurity, 2019). Eine kritische SQL-Injection in einem Mitgliederverwaltungs-Portal berührt mindestens vier dieser Hebel direkt: Risikocharakteristika (der Technologiestack), Datenklassifikation (Mitglieder-PII — Namen, E-Mails, Adressen, gelegentlich Zahlungsmetadaten), Vorhandlungen (die Patch-Verzögerung zwischen Offenlegung und Erneuerung) und das selbstbehaltadjustierte Schadenrating, sobald ein Schadenfall gemeldet wird.

Die Auswirkung auf die Preisgestaltung wird durch das verstärkt, was das FSI/IAIS-Insights-Papier zur Cyberversicherung als Akkumulationsrisiko bezeichnet — das Risiko, dass eine einzelne zugrundeliegende Software-Schwachstelle korrelierte Schäden über viele versicherte Portfolios hinweg erzeugt (FSI/IAIS Insights, Cyber Insurance Unpacked). Wenn eine CVE ein Open-Source-Produkt betrifft, das von Hunderten oder Tausenden Versicherten eingesetzt wird, bewertet der Underwriter keine unabhängigen Risiken mehr. Er bewertet ein einzelnes technisches Ereignis mit großem Wirkungsradius.

Die technische Realität, erklärt für Underwriter

SQL-Injection ist keine neue Fehlerklasse. Sie ist jedoch eine dauerhafte — und sie besteht genau in den Webanwendungen fort, die kleine und mittelgroße Organisationen mit ehrenamtlicher oder teilzeitlicher Administration betreiben. Das Schwachstellenmuster in ecard_send.php folgt einer lehrbuchartigen Injection: vom Benutzer bereitgestellte Daten werden ohne Parameterbindung in eine SQL-Anweisung konkateniert, sodass der Aufrufer die Struktur der Abfrage verändern kann. In einer Mitgliederverwaltungs-Anwendung umfasst der unmittelbare Wirkungsradius:

• Authentifizierungsumgehung oder Privilege-Escalation. Eine erfolgreiche Injection gegen die Benutzertabelle ermöglicht es einem Angreifer, administrative Konten anzulegen oder Passwörter zurückzusetzen, was die SQLi in einen Fußpunkt für eine vollständige Kontoübernahme verwandelt.
• Massenexfiltration von PII. Mitgliederverzeichnisse enthalten routinemäßig Namen, Postanschriften, Telefonnummern und E-Mail-Adressen. Die DSGVO und vergleichbare Regime klassifizieren dies als personenbezogene Daten, und deren Offenlegung löst Meldepflichten aus, unabhängig von einer Verschlüsselung at rest.
• Lateral Movement zum Host. Viele Bereitstellungen kleinerer Organisationen betreiben die Webanwendung auf demselben Host wie die Datenbank, Dateifreigaben oder sogar Mail — was bedeutet, dass die Kompromittierung der Datenbank kein sauber eingegrenztes Ereignis ist. CVE-2023-44373 hat genau dies veranschaulicht: Die authentifizierte Command-Injection in PAN-OS war nicht wegen des SQL schwerwiegend, sondern weil der verwundbare Endpunkt Befehle als Root ausführte.

Für einen Underwriter, der einen Antrag liest, in dem es heißt „wir betreiben eine Admidio-Instanz für unseren 1.200 Mitglieder starken Verband”, lautet die Frage nicht „patchen Sie?”. Sie lautet: Wer betreibt den Host, wann wurde er zuletzt aktualisiert, was liegt in derselben Datenbank, und gibt uns der Erneuerungszyklus irgendeine Sicht auf den Patch-Status?

Implikationen für Deckung, Zeichnung und Policenwortlaut

1. Open-Source-Webanwendungen gehören in den Fragebogen. Die meisten Cyberversicherungsanträge fragen nach Firewalls, EDR, MFA und Backups. Sie fragen selten, ob das Mitgliederportal, die Spenderdatenbank oder das Veranstaltungsregistrierungssystem des Versicherten in einer herstellerunterstützten Version läuft. Die TIDE-Analyse von Gallagher Re argumentiert explizit so: Geleakte Informationen im Surface, Deep und Dark Web sind ein prädiktiver Treiber für Cyber-Schadenfälle, der einen Segmentierungswert jenseits von Umsatz, Land und Branche liefert (Gallagher Re TIDE Analysis, 2025). Wenn die Dark-Web-Exposition von Credentials aus einem verwundbaren Portal mit der Schadenhäufigkeit korreliert, dann korreliert das Vorhandensein des ungepatchten Portals mit der Vorbedingung.

2. Die Einstufung „kritisch” ist ein Triage-Trigger, kein Ablehnungs-Trigger. Underwriter, die reflexartig jede Offenlegung mit CVSS 9 ablehnen oder verteuern, werden das Vereins- und Nonprofit-Geschäft an Wettbewerber verlieren. Die Resiliently-Analyse zu CVE-2023-44373 plädiert für Triage: Eine kritische CVE in einer Management-Ebene plus eine vorhergehende kritische CVE in derselben Produktlinie innerhalb von achtzehn Monaten ist ein Portfoliosignal — das heißt, der Underwriter sollte vor der Preisgestierung nach bekannter Ausnutzung, Dark-Web-Aktivität und CISA-KEV-Listung suchen. Die CISA Emergency Directive 23-02, erlassen im April 2023 als Reaktion auf CVE-2022-36323, ist das kanonische Beispiel: Wenn eine Direktive auf Bundesebene erlassen wird, wird die vorhergehende kritische CVE zu Underwriting-Evidenz statt zu einem isolierten Ereignis.

3. Der Policenwortlaut muss die „Known Vulnerability”-Lücke schließen. Ein Standardausschluss für Schäden, die aus „der Nichtinstallation kritischer Sicherheitspatches innerhalb eines angemessenen Zeitraums” entstehen, funktioniert nur, wenn der Versicherte eine definierte Patch-Kadenz hat. Für einen Versicherten, der ein Open-Source-Mitgliederportal ohne formale IT-Funktion betreibt, ist „angemessen” nicht interpretierbar. Underwriter sollten eine schriftliche Anerkennung der konkreten CVE-ID bei Erneuerung verlangen — wodurch die Offenlegung zu einer vertraglichen Zusicherung wird statt zu einem Underwriting-Nachgedanken.

4. Cyber-Risikomodellierung muss über Firmografien hinausgehen. Der MDPI-Risks-Review über Cyber-Risikomanagement untersucht Modellierungsansätze von Vulnerability-Funktionen (wie ein System auf eine Bedrohung reagiert) bis hin zu stochastischen und dynamischen Modellen, die die Entwicklung von Cyberangriffen über die Zeit abbilden (MDPI Risks, 2025). Eine Vulnerability-Funktion, die schlicht „Admidio-Version < 4.3.9” auf einen erwarteten Schadenmultiplikator abbildet, ist ein brauchbarer erster Schnitt. Ein dynamisches Modell, das diesen Multiplikator aktualisiert, wenn sich der Dark-Web-Credential-Cache füllt, die CVE von CISA zu KEV hinzugefügt wird oder Exploit-Code auf GitHub landet, ist der Ort, an dem der Underwriting-Vorteil 2026 liegen wird.

Handlungsempfehlungen nach Rolle

Für Makler: Wenn eine Erneuerung für einen Versicherten eingeht, der Mitgliederverwaltungs-, Spenden-, Veranstaltungs- oder Verbandssoftware betreibt, fragen Sie gezielt nach Produkt, Version und Zeitpunkt der letzten Aktualisierung. Das ist eine Ein-Minuten-Frage, die den Großteil dieser Expositionsklasse aufdeckt. Tools wie der Cyber-Risikorechner können die Antwort in ein quantifiziertes Delta auf die Erneuerungsprämie übersetzen.

Für Underwriter: Bauen Sie eine Triage-Regel für CVSS-9-Offenlegungen: Hat die Produktlinie in den letzten 18 Monaten eine vorhergehende kritische CVE hervorgebracht, handelt es sich um ein Portfolioereignis. Prüfen Sie CISA KEV, die SURGE-Datenbank und Dark-Web-Credential-Caches (im Einklang mit der Gallagher Re TIDE-Methodik), bevor Sie kalkulieren. Verfolgen Sie diese Ereignisse in einem strukturierten Risikoregister, damit die nächste Erneuerung in einem ähnlichen Bestand gegen vorhergehende Portfolioergebnisse abgefragt werden kann.

Für CISOs und Risikoingenieure in kleinen Organisationen: Behandeln Sie jede Webanwendung, die Mitglieder- oder Spenderdaten verarbeitet, als Teil des Patch-Management-Scopes — auch wenn es „nur” das Mitgliederportal ist. Admidio 4.3.9 oder höher ist die unterstützte Linie. Wird die Anwendung durch einen Dritten gehostet, sollte der Vertrag den Host auf eine definierte Patch-SLA mit Benachrichtigung bei kritischen CVEs verpflichten.

Für Schaden-Teams: Wenn eine Schadenmeldung eingeht, die eine Open-Source-Webanwendung betrifft, fordern Sie in derselben Woche das Bereitstellungsdiagramm, das Patch-Log und das Datenbankschema an. Die Klasse der Injection-Schwachstellen macht es wahrscheinlich, dass das initial gemeldete Ereignis bereits das zweite oder dritte ist — der Angreifer hat möglicherweise bereits Wochen zuvor Daten exfiltriert.

Das Fazit

CVE-2024-37906 ist eine SQL-Injection in einer kleinen, quelloffenen Mitgliederverwaltungs-Anwendung. Sie wird neben einer großen Firewall-CVE keine Schlagzeilen machen. Aber genau dies ist die Art von Schwachstelle, die die kleinen, häufigen, gut dokumentierten Schadenfälle erzeugt, die die Protection-Gap-Diskussion prägen, die das FSI/IAIS-Papier beschreibt (FSI/IAIS Insights). Das Muster — kritische Injection in einem Management-Endpunkt, in einer Produktlinie mit einer vorhergehenden kritischen CVE, eingesetzt von Organisationen, die selten in prämientragenden Underwriting-Modellen auftauchen — genau das ist das Muster. Underwriter, die ihren Workflow so instrumentieren, dass sie dieses Muster erkennen, werden korrekt kalkulieren. Underwriter, die auf eine Schlagzeile warten, werden zuerst Schäden zahlen.

Quellen

• CVE-2023-44373: What This Means for Cyber Insurance Underwriting — Resiliently
• Content analysis of cyber insurance policies: how do carriers price cyber risk? — Woods & Böhme, Oxford Journal of Cybersecurity (2019)
• An Analytical Review of Cyber Risk Management by Insurance — MDPI Risks (2025)
• FSI Insights — Cyber Insurance Unpacked: The Corporate Digital Safety Net (FSI/IAIS)
• Gallagher Re TIDE Analysis (2025)