Kundenprofil
Ein B2B-SaaS-Unternehmen in Series B (~120 Mitarbeitende, EU-Sitz), das wöchentlich an seine kundenseitige Web-App und drei interne APIs ausliefert. Moderner Cloud-Native-Stack mit etabliertem CI — aber bis dahin kein tiefes, gescoptes Offensive-Engagement auf der öffentlichen Angriffsfläche.
Scope und Rules of Engagement
DeepMantis hat ein 14-tägiges Engagement gegen die kundenseitige Web-App und drei interne APIs gefahren. Produktion war im Scope; destruktive Aktionen, Datenexfiltration über Proof hinaus und Lateral Movement außerhalb der benannten Hosts waren explizit ausgeschlossen.
- Authentifizierte und unauthentifizierte Pfade
- Mandantentrennung unter Multi-Tenant-Annahmen
- Webhook-Oberflächen und ausgehende Integrationen
Methodik
Recon hat die öffentliche Angriffsfläche kartiert und High-Value-Flows identifiziert (Authentifizierung, Rechnungs-Export, Webhook-Proxy). Discovery hat sich auf Mandanten-Isolations-Invarianten und Vertrauensgrenzen zwischen Nutzereingabe und internen Diensten konzentriert. Exploitation lieferte reproduzierbare Chains mit konkreten Proof-Artefakten; im Reporting ist jedes Finding gegen das Bedrohungsmodell des Kunden eingeordnet.
Ausgewählte Findings
Insgesamt 14 Findings; die beiden mit der höchsten Auswirkung sind unten zusammengefasst. Der vollständige Report enthält pro Finding Reproduktionsschritte, Auswirkungsanalyse und Remediation-Hinweise.
Remediation und Outcome
Die Critical-SSRF wurde am selben Tag behoben, an dem der Proof-of-Exploit eintraf; beide High-Findings waren innerhalb von 12 Tagen gefixt. Ein Retest hat jeden Fix bestätigt; die Medium- und Low-Findings wurden in den nächsten Sprint gerollt.
Ausgewählte Findings
Server-Side Request Forgery im Webhook-Layer
Eine Request-Weiterleitung im Webhook-Flow ließ sich so manipulieren, dass interne Dienste erreicht werden konnten. End-to-end reproduzierbar und behoben.
Tenant-übergreifender Zugriff in einem Export-Flow
Eine Lücke in der Mandantentrennung eines Export-Endpunkts erlaubte einem authentifizierten Mandanten den Abruf von Datensätzen anderer Mandanten. Behoben durch eine strengere Autorisierungsprüfung.
“DeepMantis hat uns innerhalb von 48 Stunden eine funktionierende Exploit-Chain gezeigt. Den Critical haben wir am selben Tag gefixt.”
Ergebnis
Critical- und beide High-Findings wurden innerhalb von 12 Tagen behoben; der Retest bestätigte alle Fixes.