Einschätzung von Akamai zum Patch Tuesday im September

IPSec-Schwachstellen

IPSec ist eine Gruppe sicherer Netzwerkprotokollpakete, die Datenpakete zwischen Computern über ein IP‑Netzwerk verschlüsseln und authentifizieren.  IPSec wird hauptsächlich in VPNs verwendet.

Dieser Patch Tuesday stellte drei kritische Schwachstellen für Remotecodeausführung in zwei IPSec-Kernprotokollen vor: IKEv1 und IPv6.

Die Schwachstellen befinden sich in dem Teil des Codes, der für die Verarbeitung und das Parsing eingehender Pakete zuständig ist. Aus diesem Grund, und weil sie von nicht authentifizierten Angreifern remote ausgelöst werden können, werden sie allesamt als kritisch eingestuft und mit einem CVSS-Score von 9,8 bewertet.

Protokollerweiterungen für Windows-Internetschlüsselaustausch 

Internetschlüsselaustausch (IKE) ist eines der gängigen Protokolle, die für die Aushandlung von Verschlüsselungskeys verwendet werden. 

Anwendungsbereich

Systeme mit aktiviertem IPSec, die IKEv1 verwenden, sind anfällig. Windows-Server sind anfällig, da hier sowohl IKEv1 als auch IKEv2 aktiviert sind.

Allgemeine Empfehlungen

Es wird empfohlen, dass Unternehmen IPSec deaktivieren, wenn es nicht verwendet wird.

CVEs

Yuki Chen von Kunlun Lab hat die IKE‑Schwachstellen gefunden.  Ursache der Schwachstellen scheinen Integer-Überläufe oder -Unterläufe in den Funktionen IkeQueueRecvRequest, IkeDecryptOakNDPacket und IkeDecryptOakPacket zu sein, was zu einem OOB‑Schreibvorgang (Out of Bounds) führen kann. Diese Schwachstellen erfordern nicht, dass ein Angreifer mehrere Anfragen sendet, was ihre Ausnutzung noch einfacher macht.

IPv6

Microsoft Dynamics CRM-Schwachstellen

Microsoft Dynamics CRM ist Teil von Microsoft Dynamics 365. Zwar wird die Anwendung in der Regel als cloudbasierter Service angeboten, doch die kritischen Schwachstellen, die im aktuellen Patch behoben wurden, betreffen die On‑Premises-Installation. Beide Schwachstellen werden mit einem CVSS-Score von 8,8 als kritisch bewertet und wurden von Fabian Schmidt.

Anwendungsbereich

Microsoft Dynamics CRM muss bereitgestellt werden, bevor es verwendet oder aufgerufen werden kann, und es ist nicht standardmäßig verfügbar. Da die Portliste der Lösung ziemlich allgemein ist, lässt sich durch einen Blick auf den Registrierungsschlüssel „HKLM\SOFTWARE\Microsoft\MSCRM“ herausfinden, ob sie vorhanden ist. In unseren überwachten Umgebungen war dieses Produkt selten bis gar nicht anzutreffen.

Allgemeine Empfehlungen

Zwar sollte Patching die höchste Priorität haben, doch in Fällen, in denen das nicht sofort möglich ist, sollte es unserer Meinung nach möglich sein, den Angriffsvektor durch Segmentierung zu reduzieren. Die Segmentierung kann auf zwei Ebenen erfolgen:

• Ringfencing – Sie können den Umfang der Workstations, die auf die CRM‑Server zugreifen können, auf die Mitarbeiter beschränken, die auf das System zugreifen sollten (in der Regel IT- und Cybersicherheitsmitarbeiter). 

  • Darüber hinaus gilt: Wenn auf den CRM‑Servern nur CRM und nichts anderes ausgeführt wird, können Sie auch die Netzwerkkommunikation auf die Portliste begrenzen, die gemäß Microsofts Dokumentation.

• Nutzerbasierte Segmentierung – da für den Angriff ein authentifizierter Nutzer erforderlich ist, sollte sich dieser Vektor ebenfalls gut zur Risikominderung eignen.

OLE DB- und ODBC-Schwachstellen

OLE DB und ODBC sind beide API‑Spezifikationen, die entwickelt wurden, um die Verbindung zwischen einem Datenkonsumenten und einer Datenquelle zu abstrahieren. Während ODBC älter und prozedural ist, ist OLE DB neuer, wird mithilfe des Component Object Model (COM) implementiert und unterstützt auch nicht relationale Datenbanken.

Elf Schwachstellen für Remotecodeausführung wurden von Forscher Haifei Li entdeckt. Sie wurden allesamt als wichtig eingestuft und mit einem CVSS-Score von 8,8 bewertet. Es ist wahrscheinlich, dass Li viel Mühe darauf verwendet hat, die Mechanismen für die DB‑Konnektivität unter Windows auszunutzen. Sechs der Schwachstellen liegen beim OLE DB-Anbieter für SQL Server und die anderen fünf im ODBC-Treiber.

OLE DB-Schwachstellen

In den FAQ‑Abschnitten weisen die sechs OLE DB-Schwachstellen allesamt die gleiche Beschreibung des Angriffsablaufs auf. In der Beschreibung ist ein Fehler enthalten (über den wir das Microsoft Security Response Center informiert haben): Es wird erwähnt, dass ein vom Angreifer kontrollierter Server ein schädliches Paket empfängt, anstatt eines zu senden. Der korrigierte Text lautet wie folgt:

ODBC-Schwachstellen

Bei dem Angriffsszenario (für alle fünf Schwachstellen) wird ein authentifizierter Nutzer dazu gebracht, eine schädliche Datei in Microsoft Access zu öffnen, einer DBMS-Anwendung (Database Management System), die Teil der Microsoft 365-Suite ist. Die schädliche Datei sollte über ODBC geöffnet werden, was folglich den anfälligen Code im ODBC-Treiber auslöst und zu willkürlicher Codeausführung auf dem Rechner des Opfers führt – und zwar mit der gleichen Berechtigungsstufe wie der Access-Prozess.

Die schädliche Datei sollte im MDB-Format vorliegen, das die Struktur und die Einträge einer Datenbank sowie (optional) Dateneingabeformulare, Abfragen, gespeicherte Prozeduren usw. angibt. Das MDB-Dateiformat ist relativ alt und sein Nachfolger von Access 2007 – das ACCDB-Format – bietet zusätzliche Funktionen.

Anwendungsbereich

Laut mehreren Ressourcenverwenden 135.000 Unternehmen die Microsoft Access-Anwendung als ihre DBMS-Lösung. Unter den Umgebungen, die wir überwachen, ist die Microsoft Access-Anwendung in 27 % der Rechenzentren installiert. Sie findet sich dort auf einigen Netzwerkcomputern.

Microsoft SharePoint-Schwachstellen

Microsoft SharePoint ist ein webbasiertes Dokumentverwaltungs- und Speichersystem, das sich in andere Microsoft Office-Produkte integrieren lässt. In diesem Monat gibt es vier Schwachstellen für Remotecodeausführung, drei mit einem CVSS-Score von 8,8 und eine mit einem Ergebnis von 8,1.

Anwendungsbereich

SharePoint erfordert eine dedizierte Installation und ist standardmäßig nicht verfügbar. Es kann auf einem einzelnen Server oder in einem Cluster installiert werden. In unseren überwachten Umgebungen haben wir erlebt, dass 21 % der Netzwerke mindestens einen SharePoint-Server aufwiesen.

Allgemeine Empfehlungen

Da SharePoint-Server normalerweise für die gemeinsame Nutzung von Dokumenten vorgesehen sind, kann es schwierig sein, den Nutzerzugriff auf sie zu segmentieren oder zu beschränken, ohne den normalen Betrieb zu beeinträchtigen. Da die vier Schwachstellen jedoch bestimmte Berechtigungen erfordern, damit die Ausnutzung funktioniert, sollte es möglich sein, die Angriffsfläche durch diese Berechtigungen zu reduzieren. Das Reduzieren und Verwalten von Nutzerberechtigungen kann ein langwieriger und mühsamer Prozess sein. Daher empfiehlt es sich natürlich, Ihre Server zu patchen.

Während es wahrscheinlich nicht möglich sein wird, alle Berechtigungen zum Verwalten von Listen und Erstellen von Seiten zu entfernen, kann die Liste der berechtigten Nutzer vielleicht gekürzt oder über Bibliotheken und Listen beschränkt werden. Darüber hinaus können Sie möglicherweise die Überwachung dieser berechtigten Nutzer erhöhen, Sicherheitswarnungen zu kleineren Anomalien im Zusammenhang mit ihrer Anmeldeaktivität ausgeben oder nutzerdefinierte Regeln erstellen, die eine Anmeldewarnung sowie SharePoint-Zugriff erfordern.

CVE

Windows Kerberos-Schwachstellen

Kerberos ist das Rückgrat der Windows-Domainarchitektur. Es handelt sich um den Standardauthentifizierungsmechanismus, der den New Technology LAN Manager ersetzt hat. Dieses Mal gibt es zwei Schwachstellen, die beide von James Forshaw. Beide Schwachstellen drehen sich um das Herunterstufen der Verschlüsselung und weisen einen CVSS-Wert von 8,1 auf. Durch die Änderung der Verbindung zwischen dem Opfer und dem Domänencontroller, um die schwächere RC4‑md4-Verschlüsselung zu verwenden, könnte ein Angreifer den Kerberos-Sitzungsschlüssel des Opfers knacken, um Berechtigungen zu erlangen.

Anwendungsbereich

Kerberos ist Teil jeder Windows-Domänenarchitektur.

Allgemeine Empfehlungen

Microsofts Empfehlung ist, dass Kerberos-Schutz vor den beiden Schwachstellen schützen kann. Auf dieser Seite erhalten Sie weitere Informationen. Der Entdecker der Schwachstellen, James Forshaw, erwähnte , dass die Aktivierung von Kerberos-Schutz allein nicht ausreicht und dass das KDC diese Anforderung durchsetzen und nicht nur unterstützen muss.

Darüber hinaus ist eine der Voraussetzungen, damit die Schwachstellen greifen, ein Identitätsangriff (laut Forshaw ist dies jedoch bei CVE-2022-33679 nicht zwingend der Fall). So steht der Angreifer zwischen dem Opfer und dem Domänencontroller. Imitationsangriffe sind ein gängiger Angriffsvektor und können ziemlich viel „Lärm“ verursachen. Daher kann die Verwendung von IDS- oder IPS‑Lösungen oder aktives Threat Hunting dazu beitragen, das Risiko in gewissem Maße zu mindern.