[datensicherheit.de, 10.10.2024] Auch die Check Point Software Technologies Ltd. warnt in einer aktuellen Stellungnahme vor „schwerwiegenden Sicherheitslücken im ,Common Unix Printing System’ (CUPS)“. Diese vom Sicherheitsexperten Simone Margaritelli (evilSocket) aufgedeckten Schwachstellen betreffen demnach „Linux“-Umgebungen und können zur Ausführung von schädlichem Code führen. Diese vier Schwachstellen seien öffentlich bekanntgemacht worden, nachdem das Entwickler-Team unzureichend auf die verantwortungsbewusste Offenlegung reagiert habe.

Abbildung: Check Point Software Technologies Ltd.

Übersicht der Schwachstellen mit CVE-Code

Hunderttausende von Geräten potenziell durch CUPS-Schwachstellen gefährdet

Die vier entdeckten Sicherheitslücken, darunter „CVE-2024-47177“ mit einem CVSS-Score von 9.0 („kritisch“), beträfen eine Vielzahl von „Linux“-Distributionen sowie Systeme wie „BSD“, „Oracle Solaris“ und „ChromeOS“.

„Ein Scan des Internets zeigte, dass Hunderttausende von Geräten potenziell gefährdet sind. Obwohl ,cloud’-basierte Workloads oft nicht betroffen sind, da Port 631 in der Regel geschlossen ist, sollten betroffene Systeme dringend aktualisiert werden.“

Maßnahmen und Schutzvorkehrungen

Um die Risiken der CUPS-Schwachstellen zu minimieren, empfiehlt Check Point nach eigenen Angaben folgende Maßnahmen:

Systeme aktualisieren und Patches installieren!
Es sollten Versionen „cups-browsed“ > 2.0.1, „libcupsfilters“ > 2.1b1 und „libppd“ > 2.1b1 eingesetzt werden.

Dienste deaktivieren!
Falls nicht benötigt, sollte der „cups“-browsed-Dienst vollständig deaktiviert werden.

Port 631 blockieren!
Wenn ein Update nicht sofort möglich ist, sollte jeglicher Verkehr zu Port 631 blockiert werden, um Angriffe zu verhindern.

Margaritelli weise darauf hin, dass weitere Schwachstellen bereits verantwortungsvoll offengelegt worden seien und eine erhöhte Wachsamkeit notwendig sei. Zudem gebe es bereits „PoC-Exploitcodes“ (Proof-of-Concept) für die aktuellen Sicherheitslücken. Check-Point-Kunden seien durch „CloudGuard“ geschützt (insbesondere gegen „Remote Code Execution“ [RCE], welche durch die Sicherheitslücke „CVE-2024-47176“ ausgelöst werden könne).

Weitere Informationen zum Thema:

CHECK POINT, 30.09.2024
How to Safeguard Your Systems from Linux CUPS Vulnerabilities

datensicherheit.de, 30.09.2024
Satnam Narang kommentiert Schwachstellen im CUPS-Drucksystem / Es gibt laut Satnam Narang noch eine breite Palette von Software – sei es „Open Source“ oder „Closed Source“ –, welche noch entdeckt und offengelegt werden müssten

datensicherheit.de, 27.09.2024
Über 76.000 Geräte von Kritischer Remote-Code-Schwachstelle in CUPS betroffen / „CUPS“ (Common Unix Printing System) ist das Standard-Drucksystem für viele „Unix“-ähnliche Betriebssysteme wie „GNU/Linux“

[datensicherheit.de, 30.09.2024] Vor Kurzem wurden im „Linux“-Drucksystem „CUPS“ teils Kritische Sicherheitslücken entdeckt, über welche Angreifer beispielsweise schädlichen Code einschmuggeln könnten. Satnam Narang, „Senior Staff Research Engineer“ bei Tenable, kommentiert in seiner aktuellen Stellungnahme diesen Vorfall:

Foto: Tenable

Satnam Narang: Entdeckte CUPS-Schwachstellen offenbar nicht so schwerwiegend wie z.B. „Log4Shell“ oder „Heartbleed“

Satnam Narang sieht in diesem Zusammenhang den Kontext als entscheidend an

Der Kontext sei in diesem Zusammenhang entscheidend. Narang erläutert: „Es ist wahrscheinlich, dass die ,CVSS-Scores’ für die Schwachstellen im ,CUPS’-Drucksystem – einschließlich der mit einem Score von 9,9 – nach unten korrigiert werden.“ Da die Offenlegung aus irgendeinem Grund vor dem geplanten Datum durchgesickert sei, seien die Details eilig nachgereicht worden, und die Hersteller seien immer noch dabei, „Advisories und Patches für diese Schwachstellen“ zusammenzustellen.

„Nach allem, was wir bisher erfahren haben, sind diese Schwachstellen nicht so schwerwiegend wie ,Log4Shell’ oder ,Heartbleed’“, so Narang. Tatsächlich gebe es unzählige Schwachstellen in einer breiten Palette von Software – sei es „Open Source“ oder „Closed Source“ –, welche noch entdeckt und offengelegt werden müssten.

Satnam Narang warnt vor APT-Gruppen mit Verbindungen zu Nationalstaaten und Ransomware-Banden

„Security-Research ist in diesem Prozess von entscheidender Bedeutung, und wir können und sollten mehr von den Software-Herstellern verlangen“, betont Narang. Die CISA-Direktorin, Jen Easterly, habe dies kürzlich in einer Keynote sehr treffend auf den Punkt gebracht.

Abschließend gibt Satnam Narang zu bedenken: „Für Unternehmen, die sich gegen diese neuesten Schwachstellen wappnen, ist es wichtig zu betonen, dass die schwerwiegendsten und beunruhigendsten die bekannten Schwachstellen sind, die weiterhin von APT-Gruppen mit Verbindungen zu Nationalstaaten und Ransomware-Banden ausgenutzt werden, die Unternehmen jedes Jahr um Millionen von Dollar bringen.“

Weitere Informationen zum Thema:

datensicherheit.de, 27.09.2024
Über 76.000 Geräte von Kritischer Remote-Code-Schwachstelle in CUPS betroffen / „CUPS“ (Common Unix Printing System) ist das Standard-Drucksystem für viele „Unix“-ähnliche Betriebssysteme wie „GNU/Linux“

[datensicherheit.de, 27.09.2024] „Bei der Ausführung von Remote-Code in ,Linux CUPS’ wurden neue Probleme entdeckt“, berichtet Saeed Abbasi, Produktmanager der „Threat Research Unit“ bei Qualys, in einer aktuellen Meldung. Laut einer Untersuchung der „Qualys Threat Research Unit“ sollen mehr als 76.000 Geräte betroffen sein, „von denen mehr als 42.000 öffentlich zugängliche Verbindungen akzeptieren“.

Foto: Qualys

Saeed Abbasi: Die Sicherheitslücke ermöglicht es Angreifern, beliebigen Code auszuführen…

Schwachstelle „CVE-2024-47176“ in „cups-browsed“-Versionen in verschiedenen „UNIX“-Systemen weit verbreitet

Abbasi erläutert: „,CUPS’ (Common Unix Printing System) ist das Standard-Drucksystem für viele ,Unix’-ähnliche Betriebssysteme wie ,GNU/Linux’-Distributionen und ,macOS’. Die Schwachstelle ,CVE-2024-47176‘ in ,cups-browsed’-Versionen ist in verschiedenen ,UNIX’-Systemen weit verbreitet, darunter ,GNU/Linux’-Distributionen, ausgewählte ,BSDs’, möglicherweise ,Oracle Solaris’ und ,Google Chromium/ChromeOS’.“ In einigen Fällen sei sie standardmäßig aktiviert, in anderen nicht.

Diese Schwachstellen ermöglichten es einem nicht authentifizierten Angreifer, die IPP-URLs vorhandener Drucker stillschweigend durch bösartige URLs zu ersetzen. Dies könne dazu führen, „dass auf dem betroffenen Computer beliebige Befehle ausgeführt werden, wenn ein Druckauftrag initiiert wird“. Ein Angreifer könne ein „speziell gestaltetes UDP-Paket“ über das öffentliche Internet an „Port 631“ senden und so die Schwachstellen ohne jegliche Authentifizierung ausnutzen.

Unternehmen sollten das Risiko der Kompromittierung von „CUPS“-Systemen bewerten!

Die Verbreitung von „GNU/Linux“-Systemen als Unternehmensserver, „Cloud“-Infrastrukturen und Kritischen Anwendungen stelle durch die Sicherheitslücke eine große Angriffsfläche dar und betreffe potenziell eine große Anzahl von Servern, Desktops und eingebetteten Geräten weltweit. Angreifer benötigten keine gültigen Anmeldeinformationen, um diese Sicherheitslücke auszunutzen. Abbasi warnt: „Die Sicherheitslücke ermöglicht es Angreifern, beliebigen Code auszuführen und möglicherweise die vollständige Kontrolle über betroffene Systeme zu erlangen. Die Sicherheitslücke hat einen CVSS-Wert von 9,9 und wird damit als ,kritisch’ eingestuft.“

Unternehmen sollten das Risiko der Kompromittierung von „CUPS“-Systemen bewerten. Es gelte den Netzwerkzugriff einzuschränken, nicht unbedingt erforderliche Dienste zu deaktivieren und strenge Zugriffskontrollen zu implementieren. „Linux“-Administratoren müssten sich auf eine schnelle Fehlerbehebung vorbereiten, sobald ein Patch verfügbar ist – „und die Patches natürlich vor dem Einspielen gründlich testen, um Ausfälle zu vermeiden“.

Weitere Informationen zum Thema:

Qualys Community, Saeed Abbasi, 26.09.2024
Critical Unauthenticated RCE Flaws in CUPS Printing Systems

[datensicherheit.de, 18.05.2024] Die Kaspersky-Forscher Boris Larin und Mert Degirmenci haben nach eigenen Angaben eine neue Zero-Day-Schwachstelle in „Windows“ mit der Bezeichnung „CVE-2024-30051“ gefunden. Diese Entdeckung wurde demnach im Zuge der Untersuchung der „Windows DWM Core Library Elevation of Privilege“-Schwachstelle („CVE-2023-36033“) Anfang April 2024 gemacht. Ein Patch sei am 14. Mai 2024 im Rahmen des „May Patch Tuesday“ von Microsoft veröffentlicht worden.

Auf VirusTotal aufgetaucht: Hinweis auf potenzielle Windows-Sicherheitslücke

„Am 1. April 2024 erregte ein auf ,VirusTotal’ hochgeladenes Dokument die Aufmerksamkeit der Kaspersky-Forscher. Das Dokument mit einem aussagekräftigen Dateinamen wies auf eine potenzielle Sicherheitslücke im ,Windows’-Betriebssystem hin.“ Trotz gebrochenen Englischs und der fehlenden Details (wie die Schwachstelle ausgelöst werden kann), habe das Dokument einen Exploit-Prozess beschrieben, der jenem vom Zero-Day-Exploit für „CVE-2023-36033“ geglichen habe, obwohl sich diese Schwachstellen voneinander unterschieden.

Das Team habe vermutete, die Sicherheitslücke sei entweder erfunden oder nicht ausnutzbar; trotzdem habe es seine Untersuchung fortgesetzt. „Eine schnelle Überprüfung ergab jedoch, dass es sich tatsächlich um eine Zero-Day-Schwachstelle handelt, die zu einer Ausweitung der Systemprivilegien führen kann.“

Kaspersky habe seine Erkenntnisse umgehend an Microsoft gemeldet – anschließend sei die Schwachstelle verifiziert und als „CVE-2024-30051“ bezeichnet worden.

Global Research & Analysis Team untersuchte Zero-Day-Schwachstelle in Windows

Nach dieser Meldung hätten die Kaspersky-Experten begonnen, „die Exploits und Angriffe, die diese Zero-Day-Schwachstelle nutzen, näher unter die Lupe zu nehmen“. Mitte April 2024 habe das Team einen Exploit für „CVE-2024-30051“ entdeckt und seine Verwendung in Verbindung mit „QakBot“ sowie anderer Malware beobachtet. Dies deute darauf hin, dass mehrere Bedrohungsakteure Zugriff auf diesen Exploit hätten.

„Wir fanden das Dokument auf ,VirusTotal’ aufgrund seines aussagekräftigen Charakters sehr interessant und haben es deshalb näher untersucht. So konnten wir diese kritische Zero-Day-Schwachstelle entdecken“, berichtet Boris Larin, „Principal Security Researcher“ im „Global Research & Analysis Team“ (GReAT) bei Kaspersky.

Er kommentiert: „Die Geschwindigkeit, mit der Bedrohungsakteure diesen Exploit in ihr Arsenal integrieren, unterstreicht wie wichtig es ist, rechtzeitig Updates vorzunehmen und insgesamt immer wachsam zu bleiben, was die Cyber-Sicherheit betrifft.“

Nutzer sollten nun ihre Windows-Systeme aktualisieren

Kaspersky plane, technische Details zu „CVE-2024-30051“ zu veröffentlichen, „sobald genügend Zeit vergangen ist, damit die meisten Nutzer ihre ,Windows’-Systeme aktualisieren konnten“. Kaspersky habe sich bei Microsoft für die „prompte Analyse und Veröffentlichung von Patches“ bedankt.

Die Kaspersky-Produkte seien aktualisiert worden, um die Ausnutzung von „CVE-2024-30051“ und damit verbundener Malware mit den folgenden Ergebnissen zu erkennen:

• „PDM:Exploit.Win32.Generic“
• „PDM:Trojan.Win32.Generic“
• „UDS:DangerousObject.Multi.Generic“
• „Trojan.Win32.Agent.gen“
• „Trojan.Win32.CobaltStrike.gen“

Kaspersky verfolge den fortschrittlichen Banking-Trojaner „QakBot“ seit seiner Entdeckung im Jahr 2007. Ursprünglich für den Diebstahl von Bankdaten konzipiert, habe sich „QakBot“ erheblich weiterentwickelt und neue Funktionen erworben, wie E-Mail-Diebstahl, Keylogging und die Fähigkeit, sich selbst zu verbreiten sowie Ransomware zu installieren. Diese Malware sei für ihre häufigen Updates und Verbesserungen bekannt – dies mache sie zu einer ständigen Bedrohung in der Cyber-Sicherheitslandschaft. In den vergangenen Jahren sei beobachtet worden, dass „QakBot“ andere Botnets, wie beispielsweise „Emotet“, für die Verbreitung nutze.

Weitere Informationen zum Thema:

SECURELIST by Kaspersky, 14.05.2024
QakBot attacks with Windows zero-day (CVE-2024-30051)

NIST, 25.04.2024
National Vulnerability Database: CVE-2024-30551 Detail

NIST, 25.04.2024
National Vulnerability Database: CVE-2023-36033 Detail

MICROSOFT, 14.04.2024
Windows DWM Core Library Elevation of Privilege Vulnerability / CVE-2024-30051 / Security Vulnerability

[datensicherheit.de, 17.03.2023] Die jüngste Berichterstattung über die „Outlook“-Schwachstelle „CVE-2023-23397“ hat Satnam Narang, „Senior Staff Research Engineer“ bei Tenable, nach eigenen Angaben dazu veranlasst, dieses Thema nachfolgend etwas fundierter zu beleuchten.

Foto: Tenable

Satnam Narang: Es erforderte keine Benutzerinteraktion, was dies zu einer Null-Klick-Schwachstelle macht!

Outlook-Terminerinnerung kann missbraucht werden

„Innerhalb von 24 Stunden nach Veröffentlichung haben Forscher von MDSec bereits einen funktionalen Proof-of-Concept-Exploit für ,CVE-2023-23397‘ entwickelt, der verdeutlicht, wie einfach es ist, ihn auszunutzen“, berichtet Narang.

In diesem Beispiel hätten sie die Schwachstelle durch eine „Outlook“-Terminerinnerung ausnutzen können – „die auf dem Bildschirm erschien, nachdem die speziell gestaltete Nachricht vom E-Mail-Server empfangen und vom ,Outlook’-Client heruntergeladen wurde“.

CVE-2023-23397 in Outlook eine der Top-Schwachstellen des Jahres 2023

Narang betont: „Es erforderte keine Benutzerinteraktion, was dies zu einer Null-Klick-Schwachstelle macht.“ Darüber hinaus habe Microsoft bestätigt, dass dieser Fehler als „Zero Day“ im Rahmen begrenzter Angriffe eines in Russland ansässigen Bedrohungsakteurs auf Regierungs-, Transport-, Energie- und militärische Zielorganisationen in Europa ausgenutzt worden sei.

„Aufgrund der Einfachheit, mit der diese Schwachstelle ausgenutzt werden kann, glauben wir, dass es nur eine Frage der Zeit ist, bis sie in die Playbooks anderer Bedrohungsakteure, einschließlich Ransomware-Gruppen, aufgenommen wird“, so Narang. Bei Tenable gehen sie demnach davon aus, „dass ,CVE-2023-23397‘ eine der Top-Schwachstellen des Jahres 2023 wird“.

Outlook-Nutzer sollten das Patchen dieses Fehlers eher früher als später priorisieren

Wie in ihrem aktuellen „Threat Landscape Report 2022“ hervorgehoben, stellten bekannte Schwachstellen heute das größte Risiko für Unternehmen dar. Abschließend rät Narang:

„Jetzt, da ,CVE-2023-23397‘ von einem Zero-Day zu einer bekannten Schwachstelle geworden ist, empfehlen wir allen Organisationen, die Microsoft verwenden – vor allem ,Outlook’ – das Patchen dieses Fehlers eher früher als später zu priorisieren.“

Weitere Informationen zum Thema:

Bundesamt für Sicherheit in der Informationstechnik, 16.03.2023
Aktive Ausnutzung einer Schwachstelle in Microsoft Outlook

Microsoft, 16.03.2023
Microsoft Outlook Elevation of Privilege Vulnerability / CVE-2023-23397 / Sicherheitsanfälligkeit

[datensicherheit.de, 07.02.2023] Laut einer aktuellen Meldung von Tenable sollen kürzlich Tausende von Computer-Servern Ziel eines weltweiten Ransomware-Hacking-Angriffs gewesen sein, welcher auf „VMware (VMW.N) ESXi-Server“ abgezielt habe – dies habe Italiens Nationale Agentur für Cybersicherheit (ACN) am 5. Februar 2023 mitgeteilt und Unternehmen gewarnt, um Maßnahmen zum Schutz ihrer Systeme zu ergreifen. Bei diesem Cyber-Angriff sei versucht worden, eine Software-Schwachstelle auszunutzen, habe Roberto Baldoni, „General Director“ bei der ACN, vermeldet und hinzugefügt, dass es sich um einen „massiven Angriff“ gehandelt habe.

Traurige Wahrheit: Bekannte Schwachstellen mit Exploit trotzdem von Unternehmen oft nicht gepatcht

Dieser erste Bericht habe sich mittlerweile bestätigt, denn weitere Regionen hätten ähnliche Warnungen ausgesprochen: Nach Angaben von „Politico“ seien Frankreich, Finnland und Italien die am stärksten betroffenen Länder in Europa, während die USA und Kanada ebenfalls eine hohe Zahl an Zielen aufwiesen.

„Die traurige Wahrheit ist, dass bekannte Schwachstellen, für die ein ,Exploit’ zur Verfügung steht, oft nicht gepatcht werden“, kommentiert Bernard Montel, „EMEA Technical Director and Security Strategist“ bei Tenable, und warnt: „Dies bringt Unternehmen in eine unglaubliche Gefahr, erfolgreich infiltriert zu werden.“ In diesem Fall, bei der zwei Jahre alten „VMware“-Schwachstelle, sei die Bedrohung angesichts der aktiven Ausnutzung „immens“.

Foto: Tenable

Bernard Montel: Unternehmen müssten sich beim Patchen entscheiden – ein paar Minuten Unannehmlichkeiten oder tagelange Unterbrechungen…

Virtualisierung Herzstück der Cloud-Strategie der meisten Unternehmen

Virtualisierung sei das Herzstück der „Cloud“-Strategie der meisten Unternehmen – „ob On-Premises, Public- oder Hybrid-Cloud, wobei der Hypervisor das Rückgrat der IT bildet“. Angreifer wüssten, dass sie auf diese Ebene zielen könnten, um ihre Privilegien zu erhöhen und Zugang zu allem zu erhalten. Montel führt aus: „Wenn sie in der Lage sind, sich Zugang zu verschaffen, können sie Malware einschleusen, um die Hypervisor-Ebene zu infiltrieren und eine Masseninfektion zu verursachen.“

Für viele Unternehmen stelle sich die Frage nach der Betriebszeit im Vergleich zur Frage, ob ein System zum Patchen offline genommen werden sollte. In diesem Fall könnte die Rechnung nicht einfacher sein – „ein paar Minuten Unannehmlichkeiten oder tagelange Unterbrechungen“.

Angreifer zielen auf Schwachstellen ab, um Administratorrechte zu missbrauchen und Unternehmens-Netzwerke zu durchdringen

Montel erläutert: „Wir wissen, dass Angreifer bekannte Schwachstellen, die beliebte Software betreffen, bevorzugen – einschließlich ,Open Source’, ,VMWare’, ,ManageEngine’, ,PrintNightmare’ und ,ProxyShell’. Die Angreifer zielen auf diese Schwachstellen ab, da sie wissen, dass sie Administratorrechte missbrauchen können, um das Netzwerk zu durchdringen und Schaden anzurichten oder sogar empfindliche Informationssysteme und Daten als Erpressung zu nutzen.“

Um die Kontinuität des Geschäftsbetriebs zu gewährleisten, müssten die Sicherheitsteams herausfinden, „wie sie ausgenutzte Schwachstellen beheben und gleichzeitig die Auswirkungen auf das Unternehmen minimieren können, anstatt bekannte Schwachstellen unbehandelt zu lassen“, so Montel abschließend.

Weitere Informationen zum Thema:

POLITICO, Elena Giordano, 05.02.2023
Ransomware hacking campaign targets Europe and North America, Italy warns / France, Finland and Italy are the most affected countries in Europe, while the US and Canada also have a high number of targets

heise online, Dirk Knop, 05.02.2023
Ransomware: Italiens Cyber-Sicherheitsbehörde warnt vor weltweiter Attacke / Die italienische Cyber-Sicherheitsbehörde ACN warnt vor einer aktuellen Ransomware-Attacke, die tausende Server weltweit betreffe

datensicherheit.de, 06.02.2023
Torsten George warnt: Angriffsfläche für Endgeräte wächst – die Schwachstellen bleiben / George erörtert, wie Unternehmen im Wettrennen um Mobile Security aufholen können

[datensicherheit.de, 22.08.2022] „Kürzlich warnte Apple alle Nutzerinnen und Nutzer vor einer Sicherheitslücke auf ,iPads’, ,iPhones’ und ,Macs’, bei der Hacker die Kontrolle über die Geräte übernehmen können“, berichtet Lothar Geuenich, „VP Central Europe / DACH“ bei Check Point Software Technologies, in seiner aktuellen Stellungnahme und rät allen, welche ein betroffenes Apple-Gerät besitzen, „so schnell wie möglich auf die neueste Software zu aktualisieren“.

Foto: CHECK POINT

Lothar Geuenich: Bedrohungslandschaft entwickelt sich rasant weiter!

Cyber-Kriminelle werden nach jedem nicht aktualisierten Apple-Gerät Ausschau halten

Cyber-Kriminelle würden nach jedem Gerät Ausschau halten, das nicht aktualisiert wurde, „um auf persönliche Daten zuzugreifen, Malware einzuschleusen oder Zugang zu Unternehmensnetzwerken zu erhalten“, warnt Geuenich.

Die Bedrohungslandschaft entwickele sich rasant weiter, und mobile Schwachstellen und Malware stellten eine erhebliche und oft übersehene Gefahr für die Sicherheit von Privatpersonen und Unternehmen dar.

Nicht nur für Apple: Installation von Sicherheitssoftware auf Basis von Echtzeit-Bedrohungsdaten empfohlen

Check Point Software empfiehlt demnach zusätzlich die Installation von Sicherheitssoftware, die Echtzeit-Bedrohungsdaten nutzt, um aktiv vor Zero-Day-Phishing-Kampagnen zu schützen, und URL-Filter, um den Zugriff auf bösartige Websites von jedem Browser aus zu blockieren.

Geuenich erläutert: „Diese Lösung sollte zusätzlich eine Zugangskontrolle enthalten, die sicherstellt, dass ein infiziertes Gerät nicht auf Unternehmensanwendungen und -daten zugreifen kann, ohne die Mitarbeiter zu stören oder ihre Produktivität zu beeinträchtigen.“

Weitere Informationen zum Thema:

tagesschau, 19.08.2022
Update empfohlen / Apple warnt vor Sicherheitslücke

WDR, 19.08.2022
Sicherheitslücke bei Apple: Fast alle Geräte betroffen

[datensicherheit.de, 25.07.2022] Am 22. Juli 2022 wurden mehrere Meldungen veröffentlicht, wonach eine sogenannte Zero-Day-Schwachstelle in „Google Chrome“ (und möglicherweise auch „Edge“ und „Safari“), ausgenutzt werden kann – und konkret auch wurde, um Journalisten im Nahen Osten anzugreifen. Das Sicherheitsunternehmen Avast habe diese Schwachstelle mit „Candiru“ in Verbindung gebracht. „Candiru“ habe in der Vergangenheit bereits zuvor unbekannte Schwachstellen ausgenutzt, um eine „Windows“-Malware namens „DevilsTongue“ zu installieren.

Schwachstelle über verschlüsselten Kanal gezielt an Rechner des Opfers übertragen

Mithilfe einer „Watering Hole“-Technik werde ein Profil des Browsers des Opfers erstellt, welches unter anderem Details wie Sprache, Zeitzone, Bildschirminformationen, Gerätetyp, Browser-Plugins, Referrer und Gerätespeicher enthalte.
Avast habe festgestellt, dass diese Informationen gesammelt worden seien, „um sicherzustellen, dass der ,Exploit‘ nur an die beabsichtigten Ziele übermittelt wird“.
Sollten die gesammelten Daten von den Hackern als wertvoll erachtet werden, werde der „Zero-Day Exploit“ über einen verschlüsselten Kanal an den Rechner des Opfers übertragen.

Entdeckte Schwachstellen definitiv ernstzunehmen

James Sebree, „Senior Staff Research Engineer“ bei Tenable, geht in seinem aktuellen Kommentar auf diese neuen Schwachstellen ein:
„Die hier entdeckten Schwachstellen sind definitiv ernstzunehmen, vor allem, weil sie so weitreichend sind, was die Anzahl der betroffenen Produkte angeht.“ Betroffen seien die meisten modernen Desktop-Browser, mobile Browser und alle anderen Produkte, „die anfällige WebRTC-Komponenten verwenden“.
Sebree warnt: „Bei erfolgreicher Ausnutzung könnte ein Angreifer seinen eigenen Schadcode auf dem Computer eines bestimmten Opfers ausführen und Malware installieren, das Opfer ausspionieren, Informationen stehlen oder eine beliebige andere kriminelle Aktion ausführen.“

Angriffe auf Basis dieser Schwachstelle offensichtlich sehr gezielt

Es sei jedoch „unwahrscheinlich, dass wir allgemeine oder öffentliche ,Exploits‘ für diese Schwachstelle sehen werden“.
Bei der Hauptschwachstelle „CVE-2022-2294“ handele es sich um einen „Heap Overflow“, welcher aufgrund der Sicherheitsfunktionen der meisten modernen Betriebssysteme in der Regel nur schwer ausgenutzt werden könne.
Alle Angriffe, welche diese Schwachstelle ausnutzen, seien offensichtlich sehr gezielt. Sebrees Fazit: „Es ist zwar unwahrscheinlich, dass es zu allgemeinen Angriffen kommt, die diese Schwachstelle ausnutzen, aber die Wahrscheinlichkeit ist nicht gleich null, und Unternehmen müssen entsprechende Patches bereitstellen.“

Weitere Informationen zum Thema:

ars TECHNICA, Dan Goodin, 21.07.2022
CANDIRU — 0-day used to infect Chrome users could pose threat to Edge and Safari users, too / After lying low, exploit seller Candiru rears its ugly head once more

DECODED avast.io, Jan Vojtěšek, 21.07.2022
The Return of Candiru: Zero-days in the Middle East

[datensicherheit.de, 04.06.2022] Am letzten Mai-Wochenende 2022 soll eine sogenannte Zero-Click-Schwachstelle in „Microsoft Office“ entdeckt worden sein. Diese Sicherheitslücke sei Microsoft bereits im April 2022 von einem Forscher gemeldet worden.

Foto: Tenable

Claire Tills: Nutzer sollten bei Anhängen aus nicht vertrauenswürdigen Quellen immer misstrauisch sein!

Schwachstelle offenbar bereits im April 2022 ausgenutzt worden

„Am Wochenende begannen Security-Forscher, über eine Zero-Day-Schwachstelle für die Remote-Codeausführung (RCE) zu diskutieren, die über ,Microsoft Office‘-Dokumente ausgenutzt werden kann, einem bevorzugten Angriffsvektor“, berichtet Claire Tills, „Senior Research Engineer“ bei Tenable, in ihrer aktuellen Stellungnahme.

Am 30. Mai 2022 habe Microsoft einige offizielle Details zu „CVE-2022-30190“ veröffentlicht und darauf hingewiesen, dass diese RCE-Schwachstelle „Microsoft Windows Diagnostic Tools“ betreffe, habe aber keine Patches veröffentlicht. Indes habe Microsoft eine Empfehlung zur Schadensbegrenzung gegeben.

Diese RCE scheine bereits im April 2022 ausgenutzt worden zu sein und habe erst kürzlich breite öffentliche Aufmerksamkeit erlangt, nachdem ein Forscher begonnen habe, ein schädliches Sample auf „VirusTotal“ zu untersuchen.

Schwachstelle ein Zero-Click-Exploit – keine Benutzerinteraktion erforderlich

Tills führt aus: „Im Laufe des Wochenendes reproduzierten mehrere Forscher das Problem und stellten fest, dass es sich um einen ‚Zero-Click‘-Exploit handelt, was bedeutet, dass keine Benutzerinteraktion erforderlich ist.“

In Anbetracht der Ähnlichkeiten zwischen „CVE-2022-30190“ und „CVE-2021-40444“ sowie der Vermutung, dass auch andere „Protokoll-Handler“ anfällig sein könnten, erwarte man weitere Entwicklungen und Ausnutzungsversuche dieser Schwachstelle.

„Da es sich um einen ,Zero-Click‘-Exploit handelt, kann der einzelne Benutzer nicht viel tun, aber eine gesunde Portion Skepsis ist sehr hilfreich“, empfiehlt Tills. Nutzer sollten bei Anhängen aus nicht vertrauenswürdigen Quellen immer misstrauisch sein, so ihr Rat.

Weitere Informationen zum Thema:

Microsoft
Microsoft Windows Support Diagnostic Tool (MSDT) Remote Code Execution Vulnerability / CVE-2022-30190

[datensicherheit.de, 15.12.2021] Laut Meldungen von IT-Sicherheitsexperten am 14. Dezember 2021 sollen bereits erste Ransomware-Gruppe entdeckt worden sein, welche die Schwachstelle Log4Shell ausnutzen. Die dabei genutzte Ransomware mit dem Namen „Khonsari“ sei zwar „weit davon entfernt, sich zu einer großen Kampagne zu entwickeln“, da sie von Fachleuten als einfache „Skidware“ („Skript Kiddie Software“) eingeordnet werde, die leicht zu bekämpfen sei. Diese Ransomware sei indes funktionsfähig und könne durchaus – „wenn sie nicht rechtzeitig gestoppt wird“ – Dateien verschlüsseln.

Foto: Tenable

Amit Yoran: Die Schwachstelle verstehen und herauszufinden, wie sie sich im Laufe der Zeit verändert und weiterentwickelt!

Log4Shell-Schwachstelle bringt jetzt Unternehmen überall in Bedrängnis

„Genau wie wir gewarnt haben, bringt die ,Log4Shell‘-Schwachstelle jetzt Unternehmen überall in der Welt in Bedrängnis. Und das Schlimmste steht noch bevor, wenn die Unternehmen nicht sofort Maßnahmen ergreifen“, kommentiert Amit Yoran, „Chairman“ und „CEO“ von Tenable.
IT-Sicherheitsforscher beobachteten bereits Ransomware-Aktivitäten, bei denen Cyber-Kriminelle „Log4Shell“ in ihren „Playbooks“ einsetzten. Yoran möchte klarstellen, dass diese Ransomware-Aktivitäten „definitiv nicht verschwinden werden“. Sie würden wie ein „Lauffeuer“ zunehmen, auch dank dieser neuen, perfekten Gelegenheit in Form von „Log4Shell“.

Unternehmen müssen handeln, da Log4Shell-Schwachstelle bisherige Sicherheitsstrategie vollständig untergraben könnte

Unternehmen müssten nun schnell und entschieden handeln, fordert Yoran, da „Log4Shell“ ihre vorhandene Sicherheitsstrategie vollständig untergraben könne und werde. Kein Sicherheitsprodukt eines Anbieters sei ein Allheilmittel, um dieses Problem komplett zu lösen.
Die Beseitigung der von „Log4Shell“ ausgehenden Bedrohungen erfordere harte Arbeit und Zeit, um diese Schwachstelle zu verstehen und herauszufinden, „wie sie sich im Laufe der Zeit verändert und weiterentwickelt, um Schutzmaßnahmen zu umgehen“.

Weitere Informationen zum Thema:

Bundesamt für Sicherheit in der Informationstechnik
Kritische Schwachstelle in Java-Bibliothek log4j

datensicherheit.de, 15.12.2021
Sicherheitslücke in Log4j: Schwachstelle bedroht Weihnachtsgeschäft / Schwachstelle könnte leicht ausgenutzt werden – Proof-of-Concept öffentlich verfügbar

datensicherheit.de, 14.12.2021
Schwachstelle in Log4j: Hohes Risiko des Missbrauchs bereits angegriffener Systeme / Dr. Michael Littger warnt davor, dass noch viele Systeme mangels Update diese Schwachstelle aufweisen und somit ungeschützt vor Angriffen sind

datensicherheit.de, 14.12.2021
Angesichts der Log4Shell-Schwachstelle Aufruf zur Crowdsourced Security / Harmlose und normalerweise unangreifbare Funktion der Protokollierung droht zur Achillesferse des Internets zu werden

datensicherheit.de, 13.12.2021
Log4Shell: Bitkom zur Bedrohungslage durch neue Schwachstelle / Cyber-Kriminelle versuchen bereits aktiv, diese Schwachstelle auszunutzen

datensicherheit.de, 13.12.2021
Apache Log4j mutmaßlich größte und kritischste IT-Schwachstelle des letzten Jahrzehnts / Auch Tenable-CEO Amit Yoran warnt eindringlich vor Schwachstelle in Apache Log4j