CISA warnt vor Sicherheitslücken in verbreiteter Unternehmenssoftware
Mehrere kritische Sicherheitslücken in Software von Cisco, Microsoft, Hitachi und Progress werden derzeit aktiv ausgenutzt. Die US-Sicherheitsbehörde CISA warnt eindringlich vor den Risiken und fordert schnelle Gegenmaßnahmen.
Die Cybersecurity and Infrastructure Security Agency (CISA) hat fünf schwerwiegende Sicherheitslücken in gängiger Unternehmenssoftware als akut gefährlich eingestuft. Diese Schwachstellen werden bereits von Angreifern genutzt, um sich unbefugt Zugriff auf Systeme zu verschaffen. Betroffen sind Produkte von Cisco, Hitachi Vantara, Microsoft Windows und Progress WhatsUp Gold. Unternehmen und Behörden sollten dringend ihre Sicherheitsmaßnahmen überprüfen, um potenzielle Angriffe abzuwehren.
Die betroffenen Sicherheitslücken im Überblick:
- CVE-2023-20118 (CVSS-Wert: 6,5) – Eine Befehlseinschleusungsschwachstelle in der webbasierten Verwaltungsoberfläche von Cisco Small Business RV Series Routern. Ein authentifizierter, entfernter Angreifer kann dadurch Root-Rechte erlangen und auf unautorisierte Daten zugreifen. (Keine Patches verfügbar, da die Router das Ende ihres Lebenszyklus erreicht haben.)
- CVE-2022-43939 (CVSS-Wert: 8,6) – Eine Umgehung der Autorisierung in Hitachi Vantara Pentaho BA Server, die durch die fehlerhafte Verarbeitung nicht-standardisierter URL-Pfade entsteht. (Behoben in Versionen 9.3.0.2 und 9.4.0.1 im August 2024.)
- CVE-2022-43769 (CVSS-Wert: 8,8) – Eine Spezialelement-Einschleusung in Hitachi Vantara Pentaho BA Server, die es Angreifern ermöglicht, Spring-Templates in Konfigurationsdateien zu injizieren und somit beliebigen Code auszuführen. (Behoben in Versionen 9.3.0.2 und 9.4.0.1 im August 2024.)
- CVE-2018-8639 (CVSS-Wert: 7,8) – Eine unzureichende Freigabe von Ressourcen in Microsoft Windows Win32k, die es einem lokal authentifizierten Angreifer ermöglicht, sich höhere Berechtigungen zu verschaffen und beliebigen Code im Kernelmodus auszuführen. (Behoben im Dezember 2018.)
- CVE-2024-4885 (CVSS-Wert: 9,8) – Eine Pfad-Traversierungs-Schwachstelle in Progress WhatsUp Gold, die es einem nicht-authentifizierten Angreifer erlaubt, remote Code auszuführen. (Behoben in Version 2023.1.3 im Juni 2024.)
Wie werden diese Schwachstellen ausgenutzt?
Es gibt bislang nur wenige Details darüber, wie genau einige der genannten Schwachstellen in der Praxis ausgenutzt werden. Allerdings hat das französische Cybersicherheitsunternehmen Sekoia kürzlich enthüllt, dass CVE-2023-20118 aktiv von Angreifern genutzt wird, um verwundbare Router in das Botnet „PolarEdge“ einzubinden. Diese Router werden dann wahrscheinlich für weitere Cyberangriffe missbraucht.
Die Shadowserver Foundation berichtet zudem, dass seit dem 1. August 2024 gezielte Angriffe auf die Schwachstelle CVE-2024-4885 beobachtet wurden. Laut Daten von GreyNoise stammen diese Attacken von mindestens acht verschiedenen IP-Adressen, die in Hongkong, Russland, Brasilien, Südkorea und dem Vereinigten Königreich registriert sind.
Auch CVE-2018-8639 wurde bereits in der Vergangenheit ausgenutzt. Laut einer Analyse von AhnLab aus dem Jahr 2023 steckt dahinter eine chinesische Hackergruppe namens Dalbit (auch bekannt als m00nlight). Diese Gruppe nutzte die Schwachstelle, um sich erweiterte Rechte auf infizierten Systemen zu verschaffen. Die Angreifer gelangten zuerst über Sicherheitslücken in SQL-Servern in südkoreanische Netzwerke und platzierten anschließend Web-Shells, um langfristig Zugang zu behalten.