Die vergangene Woche und das lange Wochenende haben zahlreiche Schwachstellen mit sich gebracht, die Ihre IT- und Sicherheitsteams auf Trab halten dürften. Sowohl SonicWall als auch Juniper Networks waren von Schwachstellen betroffen, die Remotecodeausführung und Denial-of-Service-Angriffe ermöglichen.
Halten Sie Ausschau nach Sicherheitsmitteilungen Ihrer Firewall-Anbieter – es ist möglich, dass weitere ähnliche Schwachstellen ans Licht kommen. Überwachen Sie weiterhin Ihre gesamte Software auf potenziell bösartiges Verhalten, aber richten Sie diese Woche ein besonderes Augenmerk auf Netzwerkgeräte.
10. Januar 2024
Tausende WordPress-Websites durch Malware-Injection gefährdet
Art der Schwachstelle: Cross-Site-Scripting-Schwachstelle in Popup Builder, die eine Malware-Injection ermöglicht.
Das Problem: Das WordPress-Plugin Popup Builder ist über eine Schwachstelle ausnutzbar, die Angreifern Aktionen auf Administratorebene ermöglicht, etwa die Installation neuer betrügerischer Plugins oder die Erstellung neuer Administratorkonten. Der Forscher Marc Montpas von WPScan entdeckte und meldete diese Schwachstelle an die Entwickler des Plugins.
Der Sicherheitsanbieter Sucuri hat die Malware untersucht und festgestellt, dass der die Schwachstelle ausnutzende Balada Injector mehr als 6.000 Websites kompromittiert hat, auf denen eine alte Version von Popup Builder installiert ist.
Die Lösung: Popup Builder veröffentlichte Version 4.2.3 mit einem Patch für die Schwachstelle, doch ältere Versionen werden weiterhin ausgenutzt. Aktualisieren Sie Ihre Popup-Builder-Instanz auf Version 4.2.3, falls Sie dies noch nicht getan haben. Eine vorhandene Injection kann außerdem im Bereich „Custom JS or CSS“ von Popup Builder entfernt werden; Sucuri bietet dazu eine Anleitung.
Juniper Networks SRX- und EX-Serien kompromittiert
Art der Schwachstelle: Remotecodeausführung und Denial-of-Service-Angriffe.
Das Problem: Juniper Networks veröffentlichte ein Bulletin über eine Schwachstelle zur Remotecodeausführung in seinen SRX-Firewalls und EX-Switches. Laut Juniper handelt es sich um eine Out-of-Bounds-Schreibschwachstelle. Bei einer Ausnutzung kann ein nicht authentifizierter Angreifer aus der Ferne Code ausführen und einen Denial-of-Service-Angriff starten. Der Angreifer würde außerdem Root-Rechte auf dem kompromittierten Firewall-Gerät erlangen.
Diese Schwachstelle wird als CVE-2024-21591 geführt. Betroffene Versionen sind unter anderem:
- Junos-OS-Versionen vor 20.4R3-S9
- Junos OS 21.2-Versionen vor 21.2R3-S7
- Junos OS 21.3-Versionen vor 21.3R3-S5
- Junos OS 21.4-Versionen vor 21.4R3-S5
- Junos OS 22.1-Versionen vor 22.1R3-S4
- Junos OS 22.2-Versionen vor 22.2R3-S3
- Junos OS 22.3-Versionen vor 22.3R3-S2
- Junos OS 22.4-Versionen vor 22.4R2-S2 sowie 22.4R3
Die Lösung: Juniper Networks stellt folgende Junos-OS-Versionen bereit, die die Schwachstelle beheben:
- 20.4R3-S9
- 21.2R3-S7
- 21.3R3-S5
- 21.4R3-S5
- 22.1R3-S4
- 22.2R3-S3
- 22.3R3-S2
- 22.4R2-S2
- 22.4R3
- 23.2R1-S1
- 23.2R2
- 23.4R1
- Alle nachfolgenden Releases
Ivanti-Zero-Days öffnen Tür und Tor für Command Injection
Art des Angriffs: Zero-Day-Schwachstelle, die möglicherweise eine Umgehung der Authentifizierung und Command Injection ermöglicht.
Das Problem: Ivanti kündigte zwei Schwachstellen an, die Ivanti Connect Secure VPN und Ivanti Policy Secure betreffen. Zu den möglichen Folgen der Exploits gehören die Umgehung der Authentifizierung und Command Injection. Die Versionen 9.x und 22.x beider Produkte sind betroffen.
Sicherheitsforscher von Mandiant entdeckten die Schwachstelle und identifizierten aktive Exploits, die von einem Angreifer durchgeführt wurden, den Mandiant als UNC5221 verfolgt. Dieser Angreifer hat mithilfe der Ivanti-Produkte mindestens fünf Malware-Familien eingesetzt.
Die Lösung: Ivanti entwickelt derzeit Patches für die Schwachstellen. Bis dahin bietet das Unternehmen eine Abwehrmaßnahme an: Nutzer können die Datei mitigation.release.20240107.1.xml über das Download-Portal importieren. Folgen Sie dieser Seite für Informationen zu den Patches.
Microsoft SharePoint von Schwachstelle zur Rechteausweitung betroffen
Art des Angriffs: Angriff zur Rechteausweitung.
Das Problem: Die US-amerikanische Cybersecurity and Infrastructure Security Agency (CISA) hat eine Schwachstelle angekündigt in Microsoft SharePoint, die es einem Angreifer ermöglicht, seine Rechte im Netzwerk auszuweiten. Microsoft stellte bereits im vergangenen Jahr Patches für die Schwachstelle bereit, sie wird laut CISA jedoch weiterhin ausgenutzt.
Die Schwachstelle wird als CVE-2023-29357 geführt.
Die Lösung: Sehen Sie sich Microsofts Patch-Tuesday-Update vom vergangenen Juni an, um Informationen zum Patch für die SharePoint-Schwachstelle zu finden.
11. Januar 2024
Boschs smartes Thermostat bringt Büros in Gefahr
Art der Schwachstelle: Bösartige Befehle, die ein Angreifer an das Thermostat sendet, darunter möglicherweise das Ersetzen der Firmware durch manipulierten Code.
Das Problem: Das Technologieunternehmen Bosch bietet mit dem BCC100 ein Thermostat an, das für das Ersetzen der Firmware anfällig ist und von einem Angreifer ausgenutzt werden kann. Bitdefender entdeckte diese Schwachstelle und meldete sie Bosch erstmals im August 2023. Der Bericht wurde erst am 11. Januar öffentlich zugänglich.
Der Mikrocontroller des Thermostats kann nicht zwischen legitimen Nachrichten vom Cloud-Server und gefälschten Nachrichten vom TCP-Port 8899 im lokalen Netzwerk unterscheiden. Laut Bitdefender überprüft das Thermostat nicht die Authentizität eines neuen Firmware-Updates.
Die Gefahr kompromittierter IoT-Geräte besteht darin, dass Angreifer sich von einem kompromittierten Thermostat aus lateral in die Computersysteme eines Unternehmens bewegen könnten, wenn sich das Thermostat im selben Büro wie das Netzwerk befindet.
Die Lösung: Bitdefender bietet eine Smart-Home-Scanner-App an, mit der sich anfällige IoT-Geräte finden lassen. Obwohl sie für den Heimgebrauch konzipiert ist, kann Ihr Unternehmen damit nach Schwachstellen in den Smart-Geräten Ihres Büros suchen. Wenn Sie den BCC100 installiert haben, ersetzen Sie ihn entweder oder segmentieren Sie ihn in einem eigenen Netzwerk.
15. Januar 2024
Hunderttausende SonicWall-Firewalls könnten ausgenutzt werden
Art der Schwachstelle: Möglicher Denial-of-Service-Angriff und mögliche Remotecodeausführung durch einen nicht authentifizierten Angreifer.
Das Problem: SonicWalls Next-Generation-Firewalls der Serien 6 und 7 sind anfällig für Schwachstellen, die zu Denial-of-Service-Angriffen und Remotecodeausführung führen können. Laut Forschern von Bishop Fox scannten sie Firewalls mit Managementkonsolen, die aus dem Internet erreichbar sind, und stellten fest, dass 76 % der Firewalls für mindestens eine Schwachstelle anfällig waren.
CVE-2022-22274 ist eine stackbasierte Pufferüberlaufschwachstelle in SonicOS, dem Betriebssystem der Firewall. Bei einer Ausnutzung kann ein Angreifer einen Denial-of-Service-Angriff starten und möglicherweise auch Code aus der Ferne ausführen. CVE-2023-0656 ist im Kern dieselbe Schwachstelle, wurde jedoch ein Jahr später bekannt gegeben. Der Code tritt an einer anderen Stelle auf und wurde zu einem anderen Zeitpunkt entdeckt, weshalb sie als separate Schwachstelle gilt.
Die Lösung: Bishop Fox stellt ein Testskript bereit, mit dem Ingenieure feststellen können, ob ihre Firewall-Instanz anfällig ist. In ihrer Analyse nennen die Forscher außerdem Beispiele für anfälligen und sicheren Code. Wenn Ihr Gerät anfällig ist, empfiehlt Bishop Fox, die Managementschnittstelle vom Internet zu trennen und die Firmware des Geräts auf die aktuellste Version zu aktualisieren.
Als Nächstes lesen: