Zugriffsregeln in Supabase und Firebase (CWE-862): Wie fehlende Row Level Security Daten preisgibt und wie man sie behebt

Kernkonzepte & Begriffe

Öffentlicher anon-Schlüssel

Der Supabase-Schlüssel anon und die Firebase-Webkonfiguration stecken im App-Bundle, und jeder kann sie kopieren. Sie identifizieren das Projekt, nicht den Nutzer, sind also kein Geheimnis und schützen Daten nicht allein.

Row Level Security (RLS)

Eine PostgreSQL-Funktion, die jede Abfrage durch Richtlinien filtert. Der Table Editor von Supabase aktiviert sie für neue Tabellen, doch per SQL oder Migration angelegte Tabellen starten ohne RLS, und die Standardrechte erlauben anon und authenticated dann, jede Zeile zu lesen und zu ändern.

USING und WITH CHECK

USING legt fest, welche vorhandenen Zeilen ein Nutzer sehen, ändern oder löschen darf; WITH CHECK legt fest, welche neuen oder geänderten Zeilen er schreiben darf. Eine Richtlinie nur mit USING bei insert oder update erlaubt, Zeilen für eine fremde Organisation zu schreiben.

service_role-Schlüssel

Der Schlüssel service_role umgeht RLS vollständig. Er gehört nur auf Server und in Edge Functions, nie in einen Browser oder eine mobile App.

Firestore-Regeln im Testmodus

Im Testmodus gestartete Projekte erhalten Regeln, die bis zu einem Datum alle Lese- und Schreibzugriffe erlauben, und viele werden später auf allow read, write: if true geändert. Regeln müssen request.auth.uid mit dem Besitzerfeld des Dokuments vergleichen.

Schritt-für-Schritt Angriffsablauf

Quellcode: Verwundbar vs. Sicher

-- migration.sql: RLS wird für diese Tabelle nie aktiviert
create table public.invoices (
  id bigint generated always as identity primary key,
  org_id uuid not null references public.orgs (id),
  customer text not null,
  amount_cents bigint not null
);

-- der öffentliche anon-Schlüssel darf jede Zeile lesen, ändern und löschen
grant select, insert, update, delete on public.invoices to anon, authenticated;

-- migration.sql: RLS an, anon entzogen, eine Richtlinie pro Befehl
create table public.invoices (
  id bigint generated always as identity primary key,
  org_id uuid not null references public.orgs (id),
  customer text not null,
  amount_cents bigint not null
);

-- mit aktiver RLS gilt: keine Richtlinie, kein Zugriff
alter table public.invoices enable row level security;
revoke all on public.invoices from anon;

-- Nutzer sehen nur Rechnungen ihrer eigenen Organisationen
create policy "members read their org's invoices"
  on public.invoices for select to authenticated
  using (org_id in (select org_id from public.memberships where user_id = (select auth.uid())));

-- neue Zeilen müssen zu einer Organisation des Nutzers gehören; keine update- oder delete-Richtlinie
create policy "members add invoices to their org"
  on public.invoices for insert to authenticated
  with check (org_id in (select org_id from public.memberships where user_id = (select auth.uid())));

Checkliste für Engineering & Systemsicherheit

• RLS für jede Tabelle in exponierten Schemas aktivieren und die CI scheitern lassen, wenn select tablename from pg_tables where schemaname = 'public' and not rowsecurity eine Zeile liefert.
• Eine Richtlinie pro Befehl schreiben, beschränkt to authenticated, mit USING für Lesezugriffe und WITH CHECK für insert und update; nicht benötigte update- und delete-Richtlinien weglassen.
• anon die Tabellenrechte entziehen, wenn anonyme Nutzer keinen Grund zum Lesen haben, und den Schlüssel service_role nur in Serverumgebungen halten.
• RLS auch für Tabellen aktivieren, die Ihre Richtlinien lesen, etwa memberships, damit sich Nutzer nicht selbst einer anderen Organisation hinzufügen können.
• Mit zwei Testnutzern testen: Nutzer A muss für die Organisation von Nutzer B null Zeilen erhalten; für Firestore Regel-Unit-Tests gegen den Emulator mit @firebase/rules-unit-testing ausführen.

Quellen

• CWE-862: Missing Authorization
• Supabase docs — Row Level Security
• PostgreSQL docs — CREATE POLICY
• Firebase docs — Get started with Cloud Firestore Security Rules
• NVD — CVE-2025-48757 (missing Row Level Security in generated apps)