[datensicherheit.de, 30.09.2024] Vor Kurzem wurden im „Linux“-Drucksystem „CUPS“ teils Kritische Sicherheitslücken entdeckt, über welche Angreifer beispielsweise schädlichen Code einschmuggeln könnten. Satnam Narang, „Senior Staff Research Engineer“ bei Tenable, kommentiert in seiner aktuellen Stellungnahme diesen Vorfall:

Foto: Tenable

Satnam Narang: Entdeckte CUPS-Schwachstellen offenbar nicht so schwerwiegend wie z.B. „Log4Shell“ oder „Heartbleed“

Satnam Narang sieht in diesem Zusammenhang den Kontext als entscheidend an

Der Kontext sei in diesem Zusammenhang entscheidend. Narang erläutert: „Es ist wahrscheinlich, dass die ,CVSS-Scores’ für die Schwachstellen im ,CUPS’-Drucksystem – einschließlich der mit einem Score von 9,9 – nach unten korrigiert werden.“ Da die Offenlegung aus irgendeinem Grund vor dem geplanten Datum durchgesickert sei, seien die Details eilig nachgereicht worden, und die Hersteller seien immer noch dabei, „Advisories und Patches für diese Schwachstellen“ zusammenzustellen.

„Nach allem, was wir bisher erfahren haben, sind diese Schwachstellen nicht so schwerwiegend wie ,Log4Shell’ oder ,Heartbleed’“, so Narang. Tatsächlich gebe es unzählige Schwachstellen in einer breiten Palette von Software – sei es „Open Source“ oder „Closed Source“ –, welche noch entdeckt und offengelegt werden müssten.

Satnam Narang warnt vor APT-Gruppen mit Verbindungen zu Nationalstaaten und Ransomware-Banden

„Security-Research ist in diesem Prozess von entscheidender Bedeutung, und wir können und sollten mehr von den Software-Herstellern verlangen“, betont Narang. Die CISA-Direktorin, Jen Easterly, habe dies kürzlich in einer Keynote sehr treffend auf den Punkt gebracht.

Abschließend gibt Satnam Narang zu bedenken: „Für Unternehmen, die sich gegen diese neuesten Schwachstellen wappnen, ist es wichtig zu betonen, dass die schwerwiegendsten und beunruhigendsten die bekannten Schwachstellen sind, die weiterhin von APT-Gruppen mit Verbindungen zu Nationalstaaten und Ransomware-Banden ausgenutzt werden, die Unternehmen jedes Jahr um Millionen von Dollar bringen.“

Weitere Informationen zum Thema:

datensicherheit.de, 27.09.2024
Über 76.000 Geräte von Kritischer Remote-Code-Schwachstelle in CUPS betroffen / „CUPS“ (Common Unix Printing System) ist das Standard-Drucksystem für viele „Unix“-ähnliche Betriebssysteme wie „GNU/Linux“

[datensicherheit.de, 17.03.2023] Die jüngste Berichterstattung über die „Outlook“-Schwachstelle „CVE-2023-23397“ hat Satnam Narang, „Senior Staff Research Engineer“ bei Tenable, nach eigenen Angaben dazu veranlasst, dieses Thema nachfolgend etwas fundierter zu beleuchten.

Foto: Tenable

Satnam Narang: Es erforderte keine Benutzerinteraktion, was dies zu einer Null-Klick-Schwachstelle macht!

Outlook-Terminerinnerung kann missbraucht werden

„Innerhalb von 24 Stunden nach Veröffentlichung haben Forscher von MDSec bereits einen funktionalen Proof-of-Concept-Exploit für ,CVE-2023-23397‘ entwickelt, der verdeutlicht, wie einfach es ist, ihn auszunutzen“, berichtet Narang.

In diesem Beispiel hätten sie die Schwachstelle durch eine „Outlook“-Terminerinnerung ausnutzen können – „die auf dem Bildschirm erschien, nachdem die speziell gestaltete Nachricht vom E-Mail-Server empfangen und vom ,Outlook’-Client heruntergeladen wurde“.

CVE-2023-23397 in Outlook eine der Top-Schwachstellen des Jahres 2023

Narang betont: „Es erforderte keine Benutzerinteraktion, was dies zu einer Null-Klick-Schwachstelle macht.“ Darüber hinaus habe Microsoft bestätigt, dass dieser Fehler als „Zero Day“ im Rahmen begrenzter Angriffe eines in Russland ansässigen Bedrohungsakteurs auf Regierungs-, Transport-, Energie- und militärische Zielorganisationen in Europa ausgenutzt worden sei.

„Aufgrund der Einfachheit, mit der diese Schwachstelle ausgenutzt werden kann, glauben wir, dass es nur eine Frage der Zeit ist, bis sie in die Playbooks anderer Bedrohungsakteure, einschließlich Ransomware-Gruppen, aufgenommen wird“, so Narang. Bei Tenable gehen sie demnach davon aus, „dass ,CVE-2023-23397‘ eine der Top-Schwachstellen des Jahres 2023 wird“.

Outlook-Nutzer sollten das Patchen dieses Fehlers eher früher als später priorisieren

Wie in ihrem aktuellen „Threat Landscape Report 2022“ hervorgehoben, stellten bekannte Schwachstellen heute das größte Risiko für Unternehmen dar. Abschließend rät Narang:

„Jetzt, da ,CVE-2023-23397‘ von einem Zero-Day zu einer bekannten Schwachstelle geworden ist, empfehlen wir allen Organisationen, die Microsoft verwenden – vor allem ,Outlook’ – das Patchen dieses Fehlers eher früher als später zu priorisieren.“

Weitere Informationen zum Thema:

Bundesamt für Sicherheit in der Informationstechnik, 16.03.2023
Aktive Ausnutzung einer Schwachstelle in Microsoft Outlook

Microsoft, 16.03.2023
Microsoft Outlook Elevation of Privilege Vulnerability / CVE-2023-23397 / Sicherheitsanfälligkeit

[datensicherheit.de, 27.01.2023] Tenable meldet in einer aktuellen Stellungnahme, dass am späten 26. Januar 2023 Berichte kursierten, wonach das FBI und deutsche Sicherheitsbehörden eine der aktivsten Ransomware-Bande namens „Hive“ heimlich gehackt und zerschlagen haben soll. Mit diesem Manöver sei es den Behörden gelungen zu verhindern, „dass die Gruppe mehr als 130 Millionen Dollar an Ransomware-Forderungen von mehr als weiteren 300 Opfern erpressen konnte“. Satnam Narang, „Senior Staff Research Engineer“ bei Tenable, kommentiert diesen Vorfall:

Foto: Tenable

Satnam Narang: Ransomware stellt für die meisten Unternehmen heute ständig die größte Bedrohung dar!

Schlag gegen Hive beispielloser Schritt im Kampf gegen Ransomware

„Die von den Sicherheitsbehörden ergriffenen Maßnahmen, um den Betrieb der ,Hive‘-Ransomware-Gruppe von innen heraus zu stören, sind ein beispielloser Schritt im Kampf gegen Ransomware, die für die meisten Unternehmen heute ständig die größte Bedrohung darstellt“, unterstreicht Narang.

Dies könnte zwar das Ende der „Hive“-Ransomware-Gruppe bedeuten, aber seine Mitglieder und Partner stellten weiterhin eine Bedrohung dar. Narang warnt: „Wenn wir aus vergangenen Störaktionen gegen Ransomware-Gruppen etwas gelernt haben, dann dass andere Gruppen aufstehen werden, um die hinterlassene Lücke zu füllen.“

Aber: Hive-Affiliates könnten leicht zu anderen Affiliate-Programmen von Ransomware-Gruppen wechseln

Sogenannte Affiliates, „die normalerweise für die Durchführung der meisten dieser Angriffe verantwortlich sind“, könnten leicht zu anderen Affiliate-Programmen von Gruppen wechseln, „die weiterhin betriebsbereit sind, und Mitglieder von Ransomware-Gruppen können ihr Wissen ebenfalls an diese Gruppen weitergeben“.

Narang führt aus: „Einer der wichtigsten Wege, wie Ransomware-Gruppen Aufmerksamkeit und Bekanntheit erlangen, ist die Veröffentlichung ihrer erfolgreichen Angriffe auf Datenleck-Sites im DarkWeb.“ Es würde ihn demnach nicht überraschen, „wenn Ransomware-Gruppen die Bedrohung sehen, die durch die Wartung dieser Sites entsteht, und aufhören, diese Angriffe öffentlich aufzulisten in einem Versuch, unter dem Radar zu bleiben“.

Weitere Informationen zum Thema:

Frankfurter Allgemeine Zeitung, Gustav Theile, 27.01.2023
Zerschlagene Hackergruppe Hive: Wenn das FBI schwäbischen Polizisten dankt

WDR, 27.01.2023
Hacker-Netzwerk „Hive“ zerschlagen – was steckt dahinter?

datensicherheit.de, 26.08.2021
Ransomware Groups to Watch: Emerging Threats / Aktuelle Analyse von Palo Alto Networks zu Ransomware-Gruppen

[datensicherheit.de, 06.08.2022] Laut Medienberichten sollen Krypto-Währungen und andere Token im Wert von mehreren Millionen US-Dollar aus mit dem Internet verbundenen sogenannten Wallets auf der „Solana“-Blockchain entwendet worden sein: Vermögenswerte aus etwa 8.000 Wallets seien gestohlen worden – hauptsächlich mobiler Wallet-Benutzer von „Phantom“ und „Slope“. Satnam Narang, „Senior Staff Research Engineer“ bei Tenable, kommentiert diesen Vorfall in seiner aktuellen Stellungnahme:

Foto: Tenable

Satnam Narang: Solana-Hack, der zum Diebstahl von über fünf Millionen Dollar führte, war das Ergebnis eines Lecks von Seed-Phrasen

Seed-Phrasen helfen, auf Kryptowährungs-Wallets zuzugreifen oder wiederherzustellen

„Der Solana-Hack, der zum Diebstahl von über fünf Millionen Dollar führte, war das Ergebnis eines Lecks von Seed-Phrasen, einer Gruppe zufälliger Wörter, die verwendet werden, um Benutzern zu helfen, auf ihre Kryptowährungs-Wallet zuzugreifen oder sie wiederherzustellen, indem eine Wallet von Slope Finance erstellt wurde“, berichtet Narang.

Benutzer, welche mit verschiedenen Blockchains interagieren möchten, erstellten normalerweise sogenannte Hot Wallets, auf die über Browser-Erweiterungen oder mobile und Desktop-Anwendungen einfach zugegriffen werden könne. „Als Teil der Protokollierungsfunktion seiner Anwendung speicherte Slope Finance die Seed-Phrasen der Benutzer im Klartext in diesen Protokollen, was als Quelle des Verstoßes ermittelt wurde.“

Betroffen seien Benutzer, welche Wallets mit „Slope Wallet“ erstellt oder ihre Wallets aus anderen Wallets wie „Phantom“ in „Slope“ importiert haben.

Empfehlung, Cold Wallets in Betracht zu ziehen

Jeder, der eine Seed-Phrase oder eine mnemonische Phrase besitzt, könne die Kontrolle über die Krypto-Währung und die NFTs (Non-Fungible Tokens) der Benutzer übernehmen, „weshalb der herkömmliche Rat, die eigene Seed-Phrase niemals zu teilen, so prominent ist“. Allerdings seien die Benutzer in diesem Fall nicht schuld, und die Speicherung ihrer Seed-Phrasen im Klartext habe zum Diebstahl ihrer Gelder geführt.

Narang: „Enthusiasten von Krypto-Währungen, die mit verschiedenen Blockchains interagieren möchten, empfehlen wir dringend, eigene Nachforschungen anzustellen, um zu überprüfen, ob ein Projekt Drittanbieter-Audits oder Pentests seiner Anwendungen oder Infrastruktur durchgeführt hat, bevor Menschen diesen Anwendungen ihr Geld anvertrauen.“

Darüber hinaus werde den Benutzern dringend empfohlen, die Verwendung einer sogenannten Cold Wallet in Betracht zu ziehen, zu der Hardware-Wallets, Papier-Wallets oder Offline-USB/CD-Wallets gehörten, „die nicht so leicht zugänglich sind, um ihre Krypto-Währungen langfristig zu speichern“.

Weitere Informationen zum Thema:

CRYPTO BRIEFING, Mike Dalton, 04.08.2022
Solana and Slope Confirm Wallet Security Breach

datensicherheit.de, 25.01.2022
Check Point Research warnt vor Token-Betrug: Wie Hacker damit Geld abzocken / Im Oktober 2021 hatte CPR bereits den Diebstahl von Krypto-Geldbörsen auf OpenSea, dem weltweit größten Marktplatz für Non-Fungible Token aufgedeckt

[datensicherheit.de, 30.06.2022] Hinter dem im vergangenen Jahr, 2021, auf das Technologieunternehmen AMD gemeldeten massiven Cyber-Angriff, bei dem 450 GB an Daten gestohlen worden sein sollen, steckte nach neuen Erkenntnissen „allem Anschein nach die relativ neue Angreifergruppe ,RansomHouse‘“, so Satnam Narang, leitender Forschungsingenieur bei Tenable, in seiner aktuellen Stellungnahme zum „Newcomer“ unter den Ransomware-Gruppen.

Foto: Tenable

Satnam Narang: RansomHouse verteilt offenbar keine schädliche Software

RansomHouse als reine Erpressergruppe

„Trotz ihres Namens passt die ,RansomHouse‘-Gruppe nicht ganz unter das Label einer Ransomware-Gruppe im herkömmlichen Sinne“, meint Narang. Während die Gruppe im Rahmen ihrer Operationen ein Lösegeld verlange, scheine es, dass sie keine schädliche Software in den Opferorganisationen verteile.

„Sie gelten als reine Erpressergruppe, deren Renaissance wir in den letzten Monaten zu beobachten begonnen haben.“

RansomHouse will sich offenbar besonderes Image geben

„RansomHouse“ selbst habe behauptet, dass sie weder hinter Sicherheitsverletzungen steckten noch Ransomware im Rahmen ihrer Bemühungen entwickelten oder einsetzten. Narangs Kommentar:

„Aber es ist schwer, dem Wort der Gruppe zu vertrauen, die möglicherweise versucht, sich davor zu schützen, in eine Kategorie von Ransomware gesteckt zu werden und durch Strafverfolgungsoperationen zu einem größeren Ziel zu werden.“

Reine Erpressung im Fokus von Gruppen wie RansomHouse und Lapsus$

Selbst mit dem Erfolg der Doppelten Erpressung, bei der Ransomware-Gruppen viele Dateien innerhalb eines Netzwerks verschlüsselten sowie Dateien stehlen und damit drohen würden, diese im sogenannten DarkWeb zu veröffentlichen, scheine „der Erpressungsfaktor zum zentralen Punkt unter Erpressungsgruppen wie ,RansomHouse‘ und ,Lapsus$‘ geworden zu sein“.

Narang berichtet: „Als die ,Conti‘-Ransomware-Gruppe begann, ihre Aktivitäten zusammenzulegen, beinhaltete ein Teil ihrer großen Pläne, sich in mehrere Ransomware-Gruppen aufzuspalten, einschließlich solcher, die auf Erpressung ausgerichtet sind, wie ,BlackByte‘ und ,Karakurt‘.“

Ransomware-Gruppen im Laufe der Jahre weiterentwickelt zum geschäftsähnlichen Ansatz

„Wie wir in unserem jüngsten Bericht über das Ransomware-Ökosystem hervorheben, haben sich Ransomware-Gruppen im Laufe der Jahre weiterentwickelt, einen geschäftsähnlichen Ansatz für ihre Bemühungen angenommen und Geschäftspartnerschaften mit anderen Akteuren des Ökosystems wie verbundenen Unternehmen und Maklern für den Erstzugang geschmiedet.“

Es bleibe abzuwarten, ob dieser Trend zu einem ausschließlichen Fokus auf Erpressung Teil seiner natürlichen Entwicklung werden wird.

Weitere Informationen zum Thema:

datensicherheit.de, 09.03.2022
Datendiebstahl bei Samsung vermutlich durch Hacker-Gruppe Lapsus$ / Einige spezifische Teile des geleakten Codes wichtige Sicherheitskomponenten für Samsung-Geräte

[datensicherheit.de, 28.06.2022] Laut aktueller Medienberichte soll die „LockBit“-Ransomware-Gruppe „LockBit 3.0“ gestartet haben – mit dem das erste Bug-Bounty-Programm für Ransomware einführt werde und neue Erpressungstaktiken sowie „Zcash“-Kryptowährungs-Zahlungsoptionen vorgesehen seien. Satnam Narang, „Senior Staff Research Engineer“ bei Tenable, kommentiert in seiner aktuellen Stellungnahme diese Entwicklung:

Foto: Tenable

Satnam Narang: LockBit aufgrund seines Angriffsvolumens in den letzten Monaten als die führende Ransomware-Gruppe positioniert

LockBits formelle Einladung an Cyber-Kriminelle

„Mit dem Fall der ,Conti‘-Ransomware-Gruppe hat sich ,LockBit‘ aufgrund seines Angriffsvolumens in den letzten Monaten als die führende Ransomware-Gruppe positioniert, die heute tätig ist“, berichtet Narang und führt aus:

„Die Veröffentlichung von ,LockBit 3.0‘ mit der Einführung eines Bug-Bounty-Programms ist eine formelle Einladung an Cyber-Kriminelle, der Gruppe bei ihrem Bestreben zu helfen, an der Spitze zu bleiben.“

Cyber-kriminelle Gruppe will Zcash als Zahlungsoption anbieten

Ein Hauptaugenmerk dieses Bug-Bounty-Programms seien Abwehrmaßnahmen: Sicherheitsforscher und Strafverfolgungsbehörden daran zu hindern, Fehler in seinen Leak-Sites oder Ransomware zu finden, Möglichkeiten zu identifizieren, wie Mitglieder, einschließlich des Chefs des Partnerprogramms, gedoxt werden könnten, sowie Fehler in der Messaging-Software zu finden.

„Die Gefahr, gedoxt oder identifiziert zu werden, signalisiert, dass die Bemühungen der Strafverfolgungsbehörden für Hacker-Gruppen wie ,LockBit‘ eindeutig ein großes Problem darstellen.“ Schließlich plane die Gruppe, „Zcash“ als Zahlungsoption anzubieten, was von Bedeutung sei, da „Zcash“ schwerer nachzuverfolgen sei als „Bitcoin“, was es für Forscher und Strafverfolger schwieriger mache, die Aktivitäten der Gruppe im Auge zu behalten, so Narangs abschließende Warnung.

Weitere Informationen zum Thema:

BLEEPINGCOMPUTER, Lawrence Abrams, 27.06.2022
LockBit 3.0 introduces the first ransomware bug bounty program

[datensicherheit.de, 15.09.2021] „Die aktuelle ,Patch-Tuesday‘-Version enthält Patches für 61 CVEs, von denen vier als kritisch eingestuft werden. Im Jahr 2021 hat Microsoft in sieben der letzten neun Monate weniger als 100 CVEs gepatcht, was im krassen Gegensatz zu 2020 steht, in dem acht Monate über 100 CVEs gepatcht wurden“, kommentiert Satnam Narang, „Staff Research Engineer“ bei Tenable, den aktuellen „Patch Tuesday“.

Foto: Tenable

Satnam Narang: Aktuelle Patch-Tuesday-Version enthält Patches für 61 CVEs

Mit jetzt verfügbarem Patch sollten Unternehmen ihre Systeme so schnell wie möglich aktualisieren!

Die neue Version enthalte einen Fix für „CVE-2021-40444“ – eine kritische Schwachstelle in Microsofts „MSHTML (Trident)-Engine“. Diese Schwachstelle wurde demnach am 7. September 2021 aufgedeckt und Forscher hätten eine Reihe von „Exploits“ entwickelt, welche die Leichtigkeit und Zuverlässigkeit der Ausnutzung zeigten.
„Ein Angreifer müsste einen Benutzer dazu bringen, ein speziell gestaltetes ,Microsoft Office‘-Dokument zu öffnen, das den ,Exploit‘-Code enthält.“ Es habe Warnungen gegeben, dass diese Sicherheitsanfälligkeit in Malware-Nutzlasten integriert und zur Verbreitung von Ransomware verwendet werde. „Es gibt noch keine Anzeichen dafür, aber mit dem jetzt verfügbaren Patch sollten Unternehmen ihre Systeme so schnell wie möglich aktualisieren“, so Narang.

Im Juli 2021 stetigen Strom von Patches für Fehler im Windows Print Spooler…

Microsoft habe außerdem drei Sicherheitsanfälligkeiten bezüglich der Erhöhung von Berechtigungen im „Windows-Druckspooler“ (CVE-2021-38667, CVE-2021-38671 und CVE-2021-40447) gepatcht. Narang berichtet: „In den letzten Monaten haben wir nach der Veröffentlichung von ,PrintNightmare‘ im Juli einen stetigen Strom von Patches für Fehler im ,Windows Print Spooler‘ gesehen.“
Forscher hätten weiterhin Möglichkeiten entdeckt, „Print Spooler“ zu nutzen – „und wir erwarten weitere Erkenntnisse in diesem Bereich“. Eine (CVE-2021-38671) der drei Schwachstellen werde wahrscheinlich ausgenutzt. Narang rät: „Unternehmen sollten auch dem Patchen dieser Fehler Priorität einräumen, da sie für Angreifer äußerst wertvoll sind.“

Weitere Informationen zum Thema:

Microsoft MSRC, 14.09.2021
Sicherheitsanfälligkeit in Microsoft MSHTML bezüglich Remotecodeausführung / CVE-2021-40444

Microsoft MSRC, 14.09.2021
Sicherheitsanfälligkeit im Windows-Druckerspooler bezüglich Rechteerweiterungen / CVE-2021-38671

datensicherheit.de, 12.07.2021
PrintNightmare: Zielgerichtetes Handeln der Unternehmen erforderlich / PrintNightmare-Schwachstelle ermöglicht es Angreifern unter bestimmten Voraussetzungen, Schadcode mit Systemrechten auszuführen

datensicherheit.de, 02.07.2021
PrintNightmare: Malwarebytes nimmt Stellung zu Microsoft-Windows-Sicherheitslücke / Ratschläge der Malwarebytes-Administratoren in aller Kürze

[datensicherheit.de, 13.09.2021] Laut einer aktuellen Meldung von Tenable warnt die CISA (Cybersecurity & Infrasctructure Security Agency), dass eine Schwachstelle, die „Zoho ManageEngine ADSelfService Plus Build 6113“ und niedriger (CVE-2021-40539) betreffend, bei „Exploits“ in der Praxis entdeckt und genutzt worden sei – Zoho habe diese Schwachstelle nun gepatcht.

Foto: Tenable

Satnam Narang: Nicht authentifizierter Remote-Angreifer könnte Sicherheitsanfälligkeit ausnutzen

Zoho hat Sicherheitsempfehlung veröffentlicht

Zoho hat demnach eine Sicherheitsempfehlung veröffentlicht, um eine kritische Sicherheitsanfälligkeit zur Umgehung der Authentifizierung in seiner Lösung „ADSelfService Plus“ zu beheben, welche in der Praxis als Zero-Day-Angriff ausgenutzt worden sei, berichtet Satnam Narang, „Staff Research Engineer“ bei Tenable, in seiner Stellungnahme.
Ein nicht authentifizierter Remote-Angreifer könnte diese Sicherheitsanfälligkeit ausnutzen, „indem er eine speziell gestaltete Anfrage an die anfällige REST-API- URL-Endpunkte sendet“. Eine erfolgreiche Ausnutzung würde zu einer Remote-Code-Ausführung führen.

Unternehmen sollten Zoho-Patch sofort anzuwenden

Da „ADSelfService Plus“ eine Self-Service-Passwortverwaltungs- und Single-Sign-On-Lösung für „Active Directory“ und „Cloud“-Apps sei, könne ein Angreifer diese Sicherheitsanfälligkeit ausnutzen, um weiter in ein Unternehmen einzudringen.
„Derzeit deuten einige Untersuchungen zu ,ZoomEye‘ darauf hin, dass in den letzten Jahren über 2.000 ,ADSelfService Plus‘-Systeme öffentlich zugänglich waren, darunter über 700 in den USA, 251 in Großbritannien und viele mehr in anderen Ländern innerhalb und außerhalb Europas“, so Narang. Er betont: „Für Unternehmen ist es wichtig, den verfügbaren Patch sofort anzuwenden.“

Weitere Informationen zum Thema:

heige auf Twitter
ZoomEye Dork app:“ Zoho ManageEngine ADManager Plus“ About 2,127 results (Nearly year: 738 results)

ManageEngine
Security Advisory – CVE-2021-40539 ADSelfService Plus-Systeme

CYBERSECURITY & INFRASTRUCTURE SECURITY AGENCY, 08.09.2021
Zoho Releases Security Update for ADSelfService Plus

[datensicherheit.de, 06.08.2021] Anlässlich der jüngsten Meldung von Cisco zu Sicherheitsschwachstellen in VPN-Routern bezieht Satnam Narang, „Staff Research Engineer“ bei Tenable, Stellung und rät entweder zu patchen oder die Remote-Management-Funktion zu deaktivieren.

Satnam Narang, Staff Research Engineer beim IT-Sicherheitsanbieter Tenable, Foto: Tenable

Satnam Narang warnt: Angreifer könnte beliebigen Code ausführen oder Reload des anfälligen Geräts erzwingen!

Schwachstellen in der Web-Management-Oberfläche der Small Business VPN-Router von Cisco

„Cisco hat soeben mehrere Schwachstellen in seinen VPN-Routern für kleine Unternehmen – RV340, RV340W, RV345 und RV345P – behoben. Die Schwachstellen befinden sich in der Web-Management-Oberfläche dieser ,Small Business VPN‘-Router“, berichtet Narang.
Die kritischste der beiden Schwachstellen, „CVE-2021-1609“, könnte es einem entfernten, nicht authentifizierten Angreifer ermöglichen, eine speziell gestaltete HTTP-Anfrage an ein anfälliges Gerät zu senden. Damit könnte er beliebigen Code ausführen oder einen „Reload“ des anfälligen Geräts erzwingen und damit einen „Denial-of-Service“ herbeiführen.

Unternehmen mit Small Business VPN-Routern von Cisco sollten umgehend patchen

„Ein wichtiger Unterschied ist, dass die Web-Management-Oberfläche standardmäßig lokal zugänglich ist und nicht deaktiviert werden kann, aber standardmäßig nicht für die Fernverwaltung aktiviert ist“, so Narang. Auf der Grundlage von Abfragen über „BinaryEdge“ hätten sie jedoch bestätigt, dass es mindestens 8.850 Geräte gebe, auf die aus der Ferne zugegriffen werden könne. Obwohl derzeit kein „Proof-of-Concept-Exploit“ für diese Schwachstellen verfügbar sei, wüssten sie aus der Vergangenheit, dass Angreifer bevorzugt auf Schwachstellen in VPN-Geräten wie „Pulse Secure“, „Citrix“ und „Fortinet“ abzielten.
„Unternehmen, welche diese ,Small Business VPN‘-Router von Cisco einsetzen und ihre Management-Oberfläche nach außen hin offengelegt haben, können diese Schwachstellen durch Patches für ihre Geräte beheben.“ Wenn ein Patching zu diesem Zeitpunkt nicht möglich sei, könne das Deaktivieren der Fernverwaltungsoption auf diesen Geräten die Schwachstellen entschärfen, „bis Patches angewendet werden können“, rät Narang.

[datensicherheit.de, 22.07.2021] Tenable warnt nach eigenen Angaben vor einer Zero-Day-Schwachstelle, welche in mehreren Versionen von „Windows 10“ identifiziert worden sei. Darüber sei es möglich, dass ein eigentlich nicht-privilegierter bzw. nicht-autorisierter Benutzer die Registry lesen und sein Berechtigungslevel erhöhen könne, um auf sensible Informationen zuzugreifen. Microsoft hat demnach einen Out-of-Band-Informationshinweis über diese Schwachstelle, aber noch keine Patches veröffentlicht.

Satnam Narang, Staff Research Engineer beim IT-Sicherheitsanbieter Tenable, Foto: Tenable

Satnam Narang: Bestimmte Versionen von Windows 10 betroffen

VSS-Schattenkopie automatisch angelegt, wenn Systemlaufwerk größer 128 GB ist und Windows-Update oder MSI-Datei installiert wird

„Die ,Windows Elevation of Privilege‘-Schwachstelle (CVE-2021-36934), die von IT-Sicherheitsforschern als ,HiveNightmare‘ oder ,SeriousSAM‘ bezeichnet wird, ist ein Zero-Day, der bestimmte Versionen von ,Windows 10‘ betrifft“, erläutert Satnam Narang, „Staff Research Engineer“ bei Tenable, in seinem Kommentar zu dieser akuten IT-Sicherheitslücke.
Diese ermögliche es nicht-autorisierten Benutzern, „sensible Dateien zu lesen, die normalerweise nur für Administratoren zugänglich sind“. Um die Schwachstelle auszunutzen, müsse der „Volume Shadow Copy Service“ (VSS) verfügbar sein. Die Sicherheitsexperten hätten darauf hingewiesen, dass die VSS-Schattenkopie automatisch angelegt werde, „wenn das Systemlaufwerk größer als 128 Gigabyte ist und ein ,Windows‘-Update oder eine MSI-Datei installiert wurde“.

Windows-10-Sicherheitslücke: Schadensbegrenzung vorerst auf Änderung von Zugriffskontrolllisten beschränkt

Nutzer könnten überprüfen, „ob die VSS-Schattenkopien existieren oder nicht“, indem sie einen bestimmten Befehl auf ihren Systemen ausführten. Eine erfolgreiche Ausnutzung dieses Fehlers würde einem lokalen Angreifer die Möglichkeit geben, seine Privilegien zu erhöhen, Passwörter und Schlüssel zu sammeln sowie Zugriff auf ein Account zu erhalten, um einen „Silver Ticket“-Angriff durchzuführen.
Microsoft habe einen Out-of-Band-Informationshinweis zu dieser Sicherheitslücke veröffentlicht – aber noch keine Patches. Narang fasst abschließende zusammen: „Zum jetzigen Zeitpunkt beschränkt sich die Schadensbegrenzung auf die Änderung von Zugriffskontrolllisten, um Benutzer am Lesen bestimmter Dateien zu hindern, und auf das Entfernen von VSS-Schattenkopien vom System. Diese Abhilfemaßnahmen könnten aber bestimmte Funktionen des Systems beeinträchtigen.“

Weitere Informationen zum Thema:

datensicherheit.de, 19.04.2021
Tenable warnt vor weiterer Zero-Day-Schwachstelle in Google Chrome

Microsoft, 21.07.2021
Windows Elevation of Privilege Vulnerability / CVE-2021-36934