Sicherheitslücken in Confluence und Azure

Sicherheitslücken in Confluence und Azure
Anzeige

Beitrag teilen

Remote-Code-Execution (RCE) bezeichnet die Ausführung von beliebigem Code auf einem Computersystem, bei dem der Angreifer keinen direkten Zugriff auf die Konsole hat. Durch das Ausnutzen von Sicherheitslücken kann ein Hacker aus der Ferne die volle Kontrolle über das System übernehmen. So bei Sicherheitslücken in Confluence und Azure.

Zum Beispiel kann jeder Benutzer, der Zugriff auf einen Endpunkt mit einer anfälligen Softwareversion hat, beliebige Befehle über eine HTTP-Anfrage ausführen, ohne dass ein Autorisierungs-Header erforderlich ist. Die erwartete Antwort auf diese Anfrage wäre eine 401 „Unauthorized“-Antwortseite. Der Benutzer kann jedoch Befehle mit „Root“-Rechten ausführen. Diese Bedrohungen wurden bereits während des Equifax-Angriffs im Jahr 2017 festgestellt.

Anzeige

Zwei kürzlich aufgedeckte Sicherheitslücken sind die neuesten Entwicklungen dieser Art von Angriffen: Die Atlassian Confluence OGNL-Injection-Schwachstelle und eine Schwachstelle, die die Azure Open Management Infrastructure (OMI) betrifft. Barracuda-Sicherheitsforscher analysierten Angriffe, die diese Schwachstellen über einen Zeitraum von 45 Tagen im August und September 2021 auszunutzen versuchten, und stellten Angriffsspitzen fest, die von mehr als 500 einzelnen Angreifer-IPs ausgingen. Im Folgenden werden diese Schwachstellen, die jüngsten Angriffsmuster sowie Lösungen, mit denen Unternehmen sich gegen diese Art von Angriffen schützen können, näher beleuchtet.

Confluence- und Azure-Schwachstellen im Detail

1. Atlassian Confluence OGNL Injection-Schwachstelle

Die Atlassian Confluence OGNL Injection-Schwachstelle wurde erstmals am 25. August 2021 von Atlassian veröffentlicht. Kurz darauf wurde sie in die National Vulnerability Database aufgenommen (CVE-2021-26084). Diese Schwachstelle ermöglicht es Bedrohungsakteuren, eine „POST“-Anforderung unter Verwendung der Confluence-Template-Engine ohne einen Autorisierungs-Header zu senden. Dadurch erhält der Bedrohungsakteur „Root“-Zugriff auf das System. Über die Parameter „queryString“ und „linkCreation“ können die Angreifer Java-Code einschleusen.

Anzeige

Atlassian hat angekündigt, dass „alle Versionen von Confluence Server und Data Center vor den gefixten Versionen von dieser Schwachstelle betroffen sind.“ Bei der Analyse von Daten von Ende August bis Ende September stellten die Sicherheitsforscher von Barracuda fest, dass die Angriffe auf die Confluence-Schwachstelle in die Höhe schnellten und weiterhin auf einem hohen Niveau bleiben, da viele Confluence-Benutzer immer noch eine anfällige Version der Software haben.

2. Sicherheitslücke in Azure Open Management Infrastructure (OMI)

Azure veröffentlichte CVE-2021-38647 am 15. September 2021. Diese Sicherheitslücke betrifft die Azure Open Management Infrastructure (OMI). Azure OMI ist ein Software-Agent, der unbemerkt vorinstalliert und in Cloud-Umgebungen eingesetzt wird. Durch diese stille Installation sind Azure-Kunden nun einem Risiko ausgesetzt, bis sie ihre Systeme auf die neueste Version von OMI aktualisieren.

Angreifer zielen auf diese Systeme ab, indem sie eine speziell gestaltete HTTPS-Nachricht an einen der Ports senden, die auf OMI-Datenverkehr warten (Ports 1270/5985/5986), wodurch der Angreifer einen ersten Zugriff auf den Computer erhält. Die vom Angreifer gesendeten Befehle werden vom SCXcore-Dienst ausgeführt, so dass der Angreifer die Schwachstellen ausnutzen kann. Der Angreifer kann einen Befehl ohne Autorisierungs-Header an den Computer weitergeben, den der OMI-Server als vertrauenswürdig einstuft und dem Angreifer „Root“-Zugriff auf das System gewährt. Microsoft erklärte in seinem Blog: „Der ExecuteShellCommand RunAsProvider führt jeden UNIX/Linux-Befehl über die Shell /bin/sh aus.“

Angreifer zielen genau die auf Sicherheitslücke

Bei der Auswertung der Daten von Barracuda-Systemen ab Mitte September stellten die Sicherheitsforscher von Barracuda einen starken Anstieg der Zahl der Angreifer fest, die versuchten, diese Sicherheitslücke auszunutzen. Nach der anfänglichen Spitze am 18. September ging die Zahl der versuchten Angriffe zurück, aber diese Spitze setzte sich fort und glich sich dann im Laufe der Zeit aus.

Bei der von Barracuda durchgeführten Analyse der Angriffe über den 45-tägigen Zeitraum im August und September wurden 550 eindeutige Angreifer-IPs entdeckt, die versuchten, die Atlassian Confluence-Schwachstelle auszunutzen, und 542 eindeutige Angreifer-IPs, die versuchten, die Azure OMI-Schwachstelle auszunutzen. Hinter jeder IP steckten mehrere Angreifer, was bedeutet, dass die Zahl der Angriffe deutlich höher war als die Zahl der IPs. Die Forscher haben diese Informationen mithilfe von Client-Fingerprinting und anderen Techniken aufgedeckt.

Analyse zeigt die meisten Angreifer-IPs

Wie aus der obigen Heatmap ersichtlich ist, befinden sich die meisten Angreifer-IPs in den USA, einschließlich Alaska. Dies könnte darauf zurückzuführen sein, dass die meisten Serverfarmen in diesen Regionen angesiedelt sind. Angriffe wurden auch aus Ländern wie Russland, dem Vereinigten Königreich, Polen und Indien gesendet. Angreifer auf der ganzen Welt versuchen, diese Schwachstellen auszunutzen, und Unternehmen müssen einen Schritt voraus sein, um ihre Webanwendungen zu schützen.

Unternehmen sollten Webanwendungen schützen

Aufgrund der zunehmenden Zahl von Schwachstellen in Webanwendungen wird es immer komplexer, sich gegen Angriffe zu wappnen. Inzwischen gibt es jedoch Komplettlösungen, die Webanwendungen davor schützen, dass diese Schwachstellen ausgenutzt werden. WAF/WAF-as-a-Service-Lösungen, auch bekannt als WAAP-Dienste (Web Application and API Protection), können zum Schutz von Webanwendungen beitragen, indem sie alle aktuellen Sicherheitslösungen in einem einzigen, benutzerfreundlichen Produkt bereitstellen.

Der Bedarf an einer WAF-as-a-Service- oder WAAP-Lösung war noch nie so groß wie heute, da viele Mitarbeiter remote arbeiten und viele Anwendungen online sind. Unternehmen müssen deshalb sicherstellen, dass sie über eine Lösung verfügen, die Bot-Mitigation, DDoS-Schutz und API-Sicherheit umfasst.

Mehr bei Barracuda.com

 


Über Barracuda Networks

Barracuda ist bestrebt, die Welt zu einem sichereren Ort zu machen und überzeugt davon, dass jedes Unternehmen Zugang zu Cloud-fähigen, unternehmensweiten Sicherheitslösungen haben sollte, die einfach zu erwerben, zu implementieren und zu nutzen sind. Barracuda schützt E-Mails, Netzwerke, Daten und Anwendungen mit innovativen Lösungen, die im Zuge der Customer Journey wachsen und sich anpassen. Mehr als 150.000 Unternehmen weltweit vertrauen Barracuda, damit diese sich auf ein Wachstum ihres Geschäfts konzentrieren können. Für weitere Informationen besuchen Sie www.barracuda.com.


 

Passende Artikel zum Thema

Kein Mensch, kein Bot – ein Hacker!

Viele seriöse Unternehmen sichern ihre Webseiten durch eine sogenannte reCaptcha-Abfrage ab. Im Dauer-Clinch zwischen Cybersicherheit und Cyberkriminalität finden Hacker erfahrungsgemäß ➡ Weiterlesen

Hacker-Barrieren: Kontenmissbrauch mit Least Privilege-Ansatz verhindern

Bei traditionellen perimeterbasierten Sicherheitskonzepten haben Cyberkriminelle meist leichtes Spiel, wenn sie diesen Schutzwall erst einmal durchbrochen haben. Besonders im Fadenkreuz ➡ Weiterlesen

Kryptominer „Golang“ schürft in Windows-Systemen

Neue Variante der Kryptominer-Malware "Golang" attackiert neben Linux- auch gezielt Windows-basierte Rechner und nun vorzugsweise auch lohnenswerte Serverstrukturen. „Totgesagte leben ➡ Weiterlesen

AV-TEST: Android-Security-Apps für Unternehmen

Das Labor von AV-TEST hat eine neue Testreihe für Android-Sicherheits-Apps für Unternehmen gestartet. Im ersten Test stellt AV-TEST anhand von ➡ Weiterlesen

Sicherheitsfragen in Zeiten des Remote Work: IT-Experten antworten

Mit der Pandemiekrise, die Mitarbeiter weltweit an den heimischen Schreibtisch schickte, kamen auf Security-Verantwortliche in Unternehmen über Nacht neue Herausforderungen ➡ Weiterlesen

Insider-Bedrohungen durch ausscheidende Mitarbeiter

Viele Unternehmen sind so sehr damit beschäftigt, externe Angreifer aus ihren sensiblen Netzwerken fernzuhalten, dass sie eine andere, möglicherweise noch ➡ Weiterlesen

Ransomware: Das Wirtschaftssystem hinter der Daten-Geiselnahme

Durch die enorme Professionalisierung der Vertriebswege wie Ransomware-as-a-Service (RaaS), benötigen Angreifer nicht mehr zwingend tiefgreifende technische Fähigkeiten, sondern vielmehr unternehmerisches ➡ Weiterlesen

Bitglass-Report: BYOD-Sicherheitsmaßnahmen sind oft unzureichend

Cloud-Sicherheitsanbieter Bitglass hat seinen BYOD Report 2020 veröffentlicht, in dem die Nutzung und Sicherheit persönlicher Geräte (Bring Your Own Device, ➡ Weiterlesen