Weblate-Bedrohungsmodell

Umfang: Kern der Weblate-Webanwendung, ihre Interaktion mit den Browsern der Benutzer, Backend-Komponenten (Webserver, WSGI, Datenbank, Redis, Celery) und die Integration mit externem VCS. Annahmen: Standard-Weblate-Bereitstellung mit typischen Komponenten (nginx/Apache, Gunicorn/uWSGI, PostgreSQL, Redis, Celery) und Benutzerrollen (Nicht authentifiziert, Übersetzer, Projektmanager, Administrator).

Systembeschreibung und Umfang

Weblate ist eine webbasierte Open-Source-Lokalisierungsplattform, die auf Django basiert. Sie lässt sich nahtlos in Git-Repositorys integrieren, um Übersetzungen zu verwalten, und bietet CI/CD-ähnliche Funktionen für Automatisierung, Hooks und VCS-Synchronisierung.

Assets:

• Vertraulichkeit: Übersetzungszeichenketten, API-Schlüssel/Zugangsdaten für die VCS-Integration, Benutzeranmeldeinformationen (Passwörter, 2FA-Geheimnisse), personenbezogene Benutzerdaten (E-Mail-Adresse, Name), Sitzungstoken, Audit-Protokolle, private Projektdaten.

• Integrität: Inhalt der Übersetzungszeichenkette, Integrität des VCS-Repository, Projekt- und Komponentenkonfigurationen, Benutzerberechtigungen, Audit-Protokolle.

• Verfügbarkeit: Weblate-Weboberfläche, VCS-Integration, Datenbankzugriff, Verarbeitung von Hintergrundaufgaben.

• Echtheit/Nachweisbarkeit: Verlauf der Übersetzungs-Commits, Benutzerzuordnung für Übersetzungen, Audit-Protokolle für administrative Aktionen.

Konzeptionelles Datenflussdiagramm

Vertrauensgrenzen

• Internet ↔ Webserver: Öffentlicher Internetverkehr, der mit der ersten Verteidigungslinie interagiert.

• Webserver ↔ Weblate-Anwendung: Kommunikation zwischen dem Reverse-Proxy/Webserver und der Anwendungslogik.

• Weblate-Anwendung ↔ Datenbank Anwendungslogik, die auf persistente und zwischengespeicherte Daten zugreift.

• Weblate-Anwendung ↔ Protokollierung: Anwendungslogik, die Protokolle erstellt.

• Weblate-Anwendung ↔ Internes VCS-Repository: Anwendungslogik, die mit ihrer lokalen Kopie des VCS-Repositorys interagiert.

• Weblate-Anwendung ↔ Externes VCS-Repository: Weblate greift auf externe Code-Hosting-Plattformen zu.

• Authentifizierter Benutzer ↔ Nicht authentifizierter Benutzer: Unterschiedliche Berechtigungsstufen innerhalb der Webanwendung.

Bedrohungsidentifizierung

Komponente/Interaktion	STRIDE-Bedrohungskategorie	Bedrohungsbeschreibung	Mögliche Auswirkungen
Webserver (nginx/Apache)	DoS	Verweigerung des Dienstes: Der Angreifer überflutet den Webserver mit Anfragen, wodurch Weblate nicht mehr verfügbar ist.	Verlust der Verfügbarkeit für Übersetzungen.
	Information disclosure	Offenlegung der Konfiguration: Ein falsch konfigurierter Server gibt sensible Dateien preis (z. B. Konfigurationsdateien, private Schlüssel).	Offenlegung von Zugangsdaten, interne Architektur.
	Tampering	Einschleusung böswilliger Anfragen: Der Angreifer injiziert schädliche Daten in HTTP-Header oder Anfragetexte.	Potenzial für SQL-Injection, XSS oder andere Injections, wenn diese vom Backend nicht richtig verarbeitet werden.
Weblate-Anwendung	Spoofing	User impersonation: Attacker gains access to a legitimate user’s session (e.g., via session hijacking, compromised credentials).	Unauthorized translation, repo access.
(WSGI/Celery)	Tampering	Unauthorized translation modification: Malicious user or exploited vulnerability allows altering translations, project configs, or VCS integration settings.	Incorrect translations, broken build, RCE via VCS hooks.
	Tampering	VCS integration manipulation: Attacker manipulates Weblate’s interaction with the VCS (e.g., injecting malicious commands via crafted repository URLs if not sanitized, leading to RCE).	Code injection in target projects, data exfiltration.
	Repudiation	Unattributed changes: Malicious changes are made without proper attribution to the user or system responsible.	Difficulty in auditing and accountability.
	Information disclosure	Sensitive data leakage: SQL injection, insecure API endpoints, or errors disclose sensitive data (e.g., other users‘ translations, VCS credentials, server information).	Privacy breach, intellectual property theft.
	Information disclosure	VCS credentials exposure: Weblate’s stored VCS credentials (SSH keys, tokens) are accessed by an attacker.	Direct access to integrated code repositories.
	DoS	Resource exhaustion: Excessive background tasks or inefficient database queries triggered by an attacker lead to system slowdown or crash.	Weblate unavailability.
	Elevation of privilege	Role escalation: A regular translator gains administrative privileges.	Complete system compromise.
	Elevation of privilege	Command injection: Arbitrary code execution due to improper input validation in repository URLs or add-ons.	System compromise, data exfiltration.
Datenbank/Redis	Tampering	Data corruption: Direct access to the database allows altering translation strings, user data, or configuration.	System malfunction, data integrity loss.
	Information disclosure	Sensitive data access: Unauthorized access to database/Redis exposes all stored data (credentials, translation memory, user profiles).	Major data breach.
	DoS	Database exhaustion: Attacker floods the database with queries, or consumes all Redis memory/connections.	Weblate unavailability.
VCS-Integration	Tampering	Malicious commits from Weblate: Compromised Weblate pushes malicious changes to the upstream repository.	Introduction of malware/backdoors into target projects.
	Repudiation	Fake commit attribution: Weblate commits changes attributed to a wrong user (e.g., an admin forcing a commit in a translator’s name without their consent).	Accountability issues.
Benutzerinteraktion	Spoofing	Phishing/social engineering: Attacker tricks users into revealing credentials for Weblate or linked VCS accounts.	Account compromise.
(Web-UI)	Tampering	Cross-Site scripting (XSS): Malicious scripts injected into translations or user profiles execute in other users‘ browsers.	Session hijacking, credential theft, defacement.
	Information disclosure	Clickjacking/UI redress: Attacker overlays malicious UI elements over Weblate, tricking users into unintended actions.	Unauthorized actions, data manipulation.
	Information disclosure	Sensitive data in UI: Unintended exposure of sensitive data (e.g., another user’s email) in the UI due to authorization flaws.	Privacy breach.

Mitigation strategies

• Authentifizierung und Autorisierung:

  • Strong password policies, see Passwortsicherheit.

  • Enforced 2FA, see Zwei-Faktor-Authentifizierung.

  • Robust session management.

  • Role-based access control (RBAC) to enforce the least privilege (e.g., translators can only edit translations, not change project configs), see Zugriffssteuerung.

  • Integration with external identity providers (SAML, OAuth, LDAP), see Authentifizierung.

• Input validation and output encoding:

  • Strict validation of all user inputs (forms, API requests, VCS URLs) to prevent injection attacks (SQL injection, command injection, XSS).

  • Context-aware output encoding for all user-supplied data displayed on the web UI to prevent XSS.

• VCS integration security:

  • Principle of least privilege for VCS credentials (e.g., read-only access where possible, limited scopes for tokens).

  • Secure storage of VCS credentials.

  • Strict sanitization and validation of all data coming from VCS (e.g., filenames, branch names, commit messages that might be displayed).

  • Secure execution of Git/Mercurial commands (avoiding shell execution with user-controlled input).

• Data protection:

  • Encryption of sensitive data at rest.

  • Encryption of data in transit (TLS/SSL for all HTTP/S and VCS communication).

  • Database hardening (the least privilege for Weblate user, strong passwords).

• System hardening:

  • Regular patching of OS, Weblate, and all dependencies.

  • Principle of least privilege for Weblate user account on the OS.

  • Network segmentation (e.g., separating database/Redis from public access).

  • Use of WAF (Web Application Firewall).

• Logging and monitoring:

  • Comprehensive audit logging of all security-relevant events (logins, failed logins, permission changes, critical configuration changes, VCS operations).

  • Centralized logging and alerting for security incidents, for example Graylog-Protokollverwaltung.

• Secure development practices:

  • Code reviews with a security focus.

  • Static Application Security Testing (SAST) and Dynamic Application Security Testing (DAST), see Weblate-Quellcode.

  • Dependency vulnerability scanning, see Abhängigkeiten.

  • Regular security audits and penetration testing.

• Error handling:

  • Generic error messages that do not reveal sensitive internal information.