Sicherheitslücken in Confluence und Azure

Sicherheitslücken in Confluence und Azure
Anzeige

Beitrag teilen

Remote-Code-Execution (RCE) bezeichnet die Ausführung von beliebigem Code auf einem Computersystem, bei dem der Angreifer keinen direkten Zugriff auf die Konsole hat. Durch das Ausnutzen von Sicherheitslücken kann ein Hacker aus der Ferne die volle Kontrolle über das System übernehmen. So bei Sicherheitslücken in Confluence und Azure.

Zum Beispiel kann jeder Benutzer, der Zugriff auf einen Endpunkt mit einer anfälligen Softwareversion hat, beliebige Befehle über eine HTTP-Anfrage ausführen, ohne dass ein Autorisierungs-Header erforderlich ist. Die erwartete Antwort auf diese Anfrage wäre eine 401 „Unauthorized“-Antwortseite. Der Benutzer kann jedoch Befehle mit „Root“-Rechten ausführen. Diese Bedrohungen wurden bereits während des Equifax-Angriffs im Jahr 2017 festgestellt.

Anzeige

Zwei kürzlich aufgedeckte Sicherheitslücken sind die neuesten Entwicklungen dieser Art von Angriffen: Die Atlassian Confluence OGNL-Injection-Schwachstelle und eine Schwachstelle, die die Azure Open Management Infrastructure (OMI) betrifft. Barracuda-Sicherheitsforscher analysierten Angriffe, die diese Schwachstellen über einen Zeitraum von 45 Tagen im August und September 2021 auszunutzen versuchten, und stellten Angriffsspitzen fest, die von mehr als 500 einzelnen Angreifer-IPs ausgingen. Im Folgenden werden diese Schwachstellen, die jüngsten Angriffsmuster sowie Lösungen, mit denen Unternehmen sich gegen diese Art von Angriffen schützen können, näher beleuchtet.

Confluence- und Azure-Schwachstellen im Detail

1. Atlassian Confluence OGNL Injection-Schwachstelle

Die Atlassian Confluence OGNL Injection-Schwachstelle wurde erstmals am 25. August 2021 von Atlassian veröffentlicht. Kurz darauf wurde sie in die National Vulnerability Database aufgenommen (CVE-2021-26084). Diese Schwachstelle ermöglicht es Bedrohungsakteuren, eine „POST“-Anforderung unter Verwendung der Confluence-Template-Engine ohne einen Autorisierungs-Header zu senden. Dadurch erhält der Bedrohungsakteur „Root“-Zugriff auf das System. Über die Parameter „queryString“ und „linkCreation“ können die Angreifer Java-Code einschleusen.

Anzeige

Atlassian hat angekündigt, dass „alle Versionen von Confluence Server und Data Center vor den gefixten Versionen von dieser Schwachstelle betroffen sind.“ Bei der Analyse von Daten von Ende August bis Ende September stellten die Sicherheitsforscher von Barracuda fest, dass die Angriffe auf die Confluence-Schwachstelle in die Höhe schnellten und weiterhin auf einem hohen Niveau bleiben, da viele Confluence-Benutzer immer noch eine anfällige Version der Software haben.

2. Sicherheitslücke in Azure Open Management Infrastructure (OMI)

Azure veröffentlichte CVE-2021-38647 am 15. September 2021. Diese Sicherheitslücke betrifft die Azure Open Management Infrastructure (OMI). Azure OMI ist ein Software-Agent, der unbemerkt vorinstalliert und in Cloud-Umgebungen eingesetzt wird. Durch diese stille Installation sind Azure-Kunden nun einem Risiko ausgesetzt, bis sie ihre Systeme auf die neueste Version von OMI aktualisieren.

Angreifer zielen auf diese Systeme ab, indem sie eine speziell gestaltete HTTPS-Nachricht an einen der Ports senden, die auf OMI-Datenverkehr warten (Ports 1270/5985/5986), wodurch der Angreifer einen ersten Zugriff auf den Computer erhält. Die vom Angreifer gesendeten Befehle werden vom SCXcore-Dienst ausgeführt, so dass der Angreifer die Schwachstellen ausnutzen kann. Der Angreifer kann einen Befehl ohne Autorisierungs-Header an den Computer weitergeben, den der OMI-Server als vertrauenswürdig einstuft und dem Angreifer „Root“-Zugriff auf das System gewährt. Microsoft erklärte in seinem Blog: „Der ExecuteShellCommand RunAsProvider führt jeden UNIX/Linux-Befehl über die Shell /bin/sh aus.“

Angreifer zielen genau die auf Sicherheitslücke

Bei der Auswertung der Daten von Barracuda-Systemen ab Mitte September stellten die Sicherheitsforscher von Barracuda einen starken Anstieg der Zahl der Angreifer fest, die versuchten, diese Sicherheitslücke auszunutzen. Nach der anfänglichen Spitze am 18. September ging die Zahl der versuchten Angriffe zurück, aber diese Spitze setzte sich fort und glich sich dann im Laufe der Zeit aus.

Bei der von Barracuda durchgeführten Analyse der Angriffe über den 45-tägigen Zeitraum im August und September wurden 550 eindeutige Angreifer-IPs entdeckt, die versuchten, die Atlassian Confluence-Schwachstelle auszunutzen, und 542 eindeutige Angreifer-IPs, die versuchten, die Azure OMI-Schwachstelle auszunutzen. Hinter jeder IP steckten mehrere Angreifer, was bedeutet, dass die Zahl der Angriffe deutlich höher war als die Zahl der IPs. Die Forscher haben diese Informationen mithilfe von Client-Fingerprinting und anderen Techniken aufgedeckt.

Analyse zeigt die meisten Angreifer-IPs

Wie aus der obigen Heatmap ersichtlich ist, befinden sich die meisten Angreifer-IPs in den USA, einschließlich Alaska. Dies könnte darauf zurückzuführen sein, dass die meisten Serverfarmen in diesen Regionen angesiedelt sind. Angriffe wurden auch aus Ländern wie Russland, dem Vereinigten Königreich, Polen und Indien gesendet. Angreifer auf der ganzen Welt versuchen, diese Schwachstellen auszunutzen, und Unternehmen müssen einen Schritt voraus sein, um ihre Webanwendungen zu schützen.

Unternehmen sollten Webanwendungen schützen

Aufgrund der zunehmenden Zahl von Schwachstellen in Webanwendungen wird es immer komplexer, sich gegen Angriffe zu wappnen. Inzwischen gibt es jedoch Komplettlösungen, die Webanwendungen davor schützen, dass diese Schwachstellen ausgenutzt werden. WAF/WAF-as-a-Service-Lösungen, auch bekannt als WAAP-Dienste (Web Application and API Protection), können zum Schutz von Webanwendungen beitragen, indem sie alle aktuellen Sicherheitslösungen in einem einzigen, benutzerfreundlichen Produkt bereitstellen.

Der Bedarf an einer WAF-as-a-Service- oder WAAP-Lösung war noch nie so groß wie heute, da viele Mitarbeiter remote arbeiten und viele Anwendungen online sind. Unternehmen müssen deshalb sicherstellen, dass sie über eine Lösung verfügen, die Bot-Mitigation, DDoS-Schutz und API-Sicherheit umfasst.

Mehr bei Barracuda.com

 


Über Barracuda Networks

Barracuda ist bestrebt, die Welt zu einem sichereren Ort zu machen und überzeugt davon, dass jedes Unternehmen Zugang zu Cloud-fähigen, unternehmensweiten Sicherheitslösungen haben sollte, die einfach zu erwerben, zu implementieren und zu nutzen sind. Barracuda schützt E-Mails, Netzwerke, Daten und Anwendungen mit innovativen Lösungen, die im Zuge der Customer Journey wachsen und sich anpassen. Mehr als 150.000 Unternehmen weltweit vertrauen Barracuda, damit diese sich auf ein Wachstum ihres Geschäfts konzentrieren können. Für weitere Informationen besuchen Sie www.barracuda.com.


 

Passende Artikel zum Thema

Report: Erwartungen vs. Realität bei Third Party Risk Assessments

Datenschutz, Zugriffsmanagement, Cloud-Sicherheit, Vorfallerkennung und -behandlung und Business Continuity: CyberVadis-Studie deckt potenzielle Lücken auf, die zu einem erhöhten Third Party ➡ Weiterlesen

Microsoft Exchange: Angreifer scannen nach ProxyShell

Eine Reihe von Sicherheitslücken mit der Bezeichnung „ProxyShell“ sind derzeit das Ziel von Angreifern. Die Schwachstellen sind bereits seit April ➡ Weiterlesen

Konferenz: Sicherheitsschwachstellen aufspüren und beseitigen

Vom 28. bis 30. September 2021 veranstaltet die Hochschule Stralsund die IT-Sicherheitskonferenz mit dem Thema "Sicherheitsschwachstellen aufspüren und beseitigen". Die ➡ Weiterlesen

CodeSentry zur Identifizierung von Sicherheitslücken

GrammaTech präsentiert neue Version des Tools CodeSentry zur Identifizierung von Sicherheitslücken in Third-Party-Code. CodeSentry 2.0 nutzt Binäranalyse, um eine Software Bill ➡ Weiterlesen

Exchange: Neue Sicherheitslücken entdeckt und geschlossen

Mitte April gab es wieder einige kritische Updates für Microsoft Exchange. Ebenso wie bei Hafnium raten Experten dringend zur Installation ➡ Weiterlesen

Ransomware-Attacken steigen weltweit um 64 Prozent

Ransomware-Attacken steigen innerhalb eines Jahres weltweit um 64 Prozent. Barracuda analysiert Angriffsmuster im Zeitraum August 2020 bis Juli 2021. Cloud-Sicherheitsspezialist Barracuda ➡ Weiterlesen