Warum Unternehmen dem Patchen von SSL-VPNs Vorrang einräumen müssen

Drei kritische SSL-VPN-Schwachstellen gehören zu den am häufigsten ausgenutzten Schwachstellen von Advanced Persistent Threat (APT) und Ransomware-Gruppen.

Sicherheitslücken in SSL-VPN-Produkten gehören zu den am häufigsten von Angreifern ausgenutzten Schwachstellen, um sich Zugang zu Unternehmensnetzwerken zu verschaffen. Um diese verteilten Unternehmensnetzwerke zu schützen, müssen IT-Teams sicherstellen, dass ihre SSL-VPN-Produkte vollständig aktualisiert und richtig konfiguriert sind, damit Angreifer fernbleiben. Anfang des Jahres veröffentlichte das Tenable Security Response Team (SRT) seinen Threat Landscape Retrospective (TLR) Report, der die wichtigsten Trends des Jahres 2020 untersucht. Einer dieser Trends waren die bei Angreifern beliebten Secure Socket Layer (SSL)-Schwachstellen in Virtual Private Networks (VPNs).

Der TLR-Report hob insbesondere die folgenden drei Schwachstellen in VPN-Produkten als Teil der fünf größten Schwachstellen des Jahres hervor.

• CVE-2019-19781, von der der Citrix Application Delivery Controller (ADC), Gateway und SD-WAN WANOP betroffen sind.
• CVE-2019-11510, wovon Pulse Connect Secure SSL VPN betroffen ist.
• CVE-2018-13379, wovon Fortinet Fortigate SSL VPN betroffen ist.

Obwohl alle drei Schwachstellen im Jahr 2019 bekannt gegeben und bis Januar 2020 gepatcht wurden, werden sie auch in der zweiten Jahreshälfte 2021 noch routinemäßig ausgenutzt. Laut einem gemeinsamen Cybersecurity Advisory von vier internationalen Regierungsbehörden gehörten diese Schwachstellen zu den am häufigsten ausgenutzten im Jahr 2020. Tatsächlich wurde CVE-2019-19781 den US-Regierungsdaten zufolge, als die am häufigsten ausgenutzte Schwachstelle des Jahres 2020 bezeichnet.

Auf der Grundlage dieser Informationen hielt es Tenable für angebracht, im Jahr 2021 erneut zu untersuchen, wie Angreifer diese Schwachstellen in der Vergangenheit ausgenutzt haben, und neue Berichte über Angriffe zu berücksichtigen. Die Zusammenstellung dieser Informationen verdeutlicht die dringende Notwendigkeit, diese Schwachstellen in allen Unternehmen zu patchen, die hier noch hinterherhinken.

SSL-VPNs als Einfallstor für Angreifer

Um ein ganzheitlicheres Bild zu vermitteln, untersuchten Forscher auch mehrere andere relevante CVEs in den drei wichtigsten SSL-VPN-Produkten. Die zusätzlichen CVEs, die in der nachstehenden Tabelle hervorgehoben sind, wurden neben den drei oben genannten in Alarme aufgenommen oder mit anderen Schwachstellen als Teil von Angriffsketten kombiniert.

Quelle: Tenable, August 2021

Citrix ADC, Gateway und SD-WAN WANOP

CVE-2019-19781 ist eine Path- oder Directory Traversal-Schwachstelle in Citrix ADC-, Gateway- und SD-WAN WANOP-Produkten, die am 17. Dezember 2019 bekannt wurde. Zum Zeitpunkt der Veröffentlichung der Schwachstelle waren keine Patches verfügbar. Um diese Sicherheitsanfälligkeit auszunutzen, könnte ein nicht authentifizierter, remote Angreifer eine speziell gestaltete Anfrage, die eine Zeichenkette zur Umleitung eines Verzeichnisses enthält, an einen anfälligen Citrix-Endpunkt senden. Ein erfolgreicher Angriff würde es einem Angreifer ermöglichen, beliebigen Code auszuführen.

Schwachstellen beim Directory Traversal sind nicht neu, es gibt sie schon seit Jahrzehnten, aber sie haben in den letzten Jahren einen Aufschwung erlebt. Wie der Name schon sagt, kann ein Angreifer durch die Ausnutzung von Fehlern bei der Umleitung von Verzeichnissen Dateipfade durchqueren, die für einen nicht-administrativen Benutzer normalerweise unzugänglich wären.

CVE-2019-19781 wurde von mehreren Hackergruppen ausgenutzt, die es auf das Gesundheitswesen abgesehen haben. Ransomware-Gruppen wie Maze (inzwischen aufgelöst) und Conti greifen bevorzugt das Remote-Desktop-Protokoll an, nutzten aber auch schon CVE-2019-19781 bei Angriffen auf den Gesundheitssektor aus. Außerdem haben APT-Gruppen diese Schwachstelle gegen Unternehmen ausgenutzt, die an der Entwicklung von COVID-19-Impfstoffen arbeiten.

Pulse Connect Secure

Im April 2019 veröffentlichte Pulse Secure einen Out-of-Band-Sicherheitshinweis, um mehrere Schwachstellen in seiner SSL-VPN-Lösung Pulse Connect Secure zu beheben, darunter mehrere Schwachstellen, die vom DEVCORE-Forschungsteam aufgedeckt wurden. Die auffälligste Schwachstelle, die in dem Advisory aufgeführt wird, ist CVE-2019-11510, eine Schwachstelle, die die Offenlegung beliebiger Dateien ermöglicht und mit dem CVSSv3-Höchstwert von 10,0 bewertet wurde. Ein nicht authentifizierter, entfernter Angreifer könnte die Schwachstelle ausnutzen, indem er eine HTTP-Anfrage sendet, die eine speziell gestaltete Zeichenkette zum Umgehen von Verzeichnissen enthält.

Schwachstellen werden auch ausgenutzt, nachdem sich ein Angreifer erfolgreich bei einem anfälligen Gerät authentifiziert hat, entweder über eine separate Schwachstelle vor der Authentifizierung oder über gültige Zugangsdaten, die durch Diebstahl oder Brute-Force Attacke erlangt wurden.

Fortinet FortiOS

Im Mai 2019 veröffentlichte Fortinet das Product Security Incident Response Team (PSIRT) Advisory FG-IR-18-384 zur Behebung von CVE-2018-13379, einer Directory Traversal-Schwachstelle im FortiOS SSL VPN. Die Schwachstelle ermöglicht es einem nicht authentifizierten Angreifer, über manipulierte HTTP-Anfragen auf beliebige Systemdateien zuzugreifen.

Diese Schwachstelle wurde von DEVCORE in denselben Präsentationen auf der Black Hat USA 2019 und der DEF CON 27 beschrieben wie die bereits erwähnte Pulse Secure-Schwachstelle. Die beiden Präsentationen zeigten, wie CVE-2018-13379 ausgenutzt werden könnte, um eine Session-Datei zu erhalten, die den Benutzernamen und das Klartextpasswort eines VPN-Benutzers enthält, ganz ähnlich wie CVE-2019-11510. Diese Daten würden sich als wertvoll erweisen, um sich weitere Schwachstellen im VPN, darunter CVE-2018-13383 zunutze zu machen. Diese Heap-Overflow-Schwachstelle nach der Authentifizierung macht es möglich, eine Remote-Shell auf betroffenen Versionen von FortiOS SSL-VPNs zu erhalten. CVE-2018-13383 wurde im PSIRT-Advisory FG-IR-18-388 im April 2019 adressiert, weitere betroffene Releasestände wurden im Mai, August und November 2019 gepatcht.

Bedrohungsakteure haben es auf alle drei SSL-VPNs abgesehen

Staatliche Akteure haben eine Vorliebe für Schwachstellen in SSL-VPNs gezeigt. Am 15. April 2021 veröffentlichten die NSA und das FBI eine gemeinsame Warnung über Aktivitäten des russischen Auslandsgeheimdienstes (SVR), die alle diese Schwachstellen ausnutzen. Dies folgte auf Warnungen aus dem Jahr 2020, die in diesem Zusammenhang auf staatlich gesponserte Angriffe aus China, Iran und Russland hinwiesen. Diese Schwachstellen wurden häufig in Exploit-Ketten ausgenutzt, die zur Übernahme von Domain-Controllern unter Verwendung von CVE-2020-1472, auch bekannt als Zerologon, führten.

Es mag allgemein bekannt sein, aber man kann es nicht oft genug wiederholen: Bedrohungsakteure nutzen in der Regel ältere Schwachstellen aus, für die Exploit- oder PoC-Code verfügbar ist. Alle in diesem Beitrag beschriebenen Produkte wurden von Ransomware-Gruppen ins Visier genommen, um sich Zugang zu fremden Netzwerken zu verschaffen. Die meisten modernen Ransomware-Gruppen arbeiten mit dem Modell Ransomware-as-a-Service, d. h. sie stellen die Malware und die Infrastruktur zur Verfügung, sind aber auf Partner angewiesen, um sich Zugang zu Unternehmen zu verschaffen, damit sie ihre Ransomware einsetzen können. Diese Partner verwenden eine Vielzahl von Methoden, um sich Zugang zu verschaffen. Da SSL-VPNs ein Einfallstor in Unternehmen darstellen, werden Ransomware-Affiliates weiterhin auf diese ungepatchten Schwachstellen abzielen, bis Unternehmen Maßnahmen ergreifen, um diese Einstiegspunkte durch das Patchen von Schwachstellen in SSL-VPN-Produkten zu verstärken.

Die Behebung dieser immer wieder ausgenutzten Schwachstellen in SSL-VPNs ist vielleicht die einfachste Entscheidung zur Priorisierung für alle Unternehmen. Für diese Schwachstellen gibt es seit Jahren Patches, und Angreifer aller Art haben es schon genauso lange auf sie abgesehen. Regierungsbehörden haben mehrere Warnungen herausgegeben, die ein sofortiges Handeln empfehlen. Die Einrichtung von Wartungsfenstern für die Aktualisierung von SSL-VPNs kann sich als schwierig erweisen, insbesondere bei Mitarbeitern, die über verschiedene Zeitzonen verteilt sind. Wenn ein Unternehmen jedoch eines dieser Produkte einsetzt und die entsprechenden Schwachstellen noch nicht gepatcht hat, gilt es jetzt einen Plan zu entwickeln, um dies zu beheben. Das Risiko ist kaum zu unterschätzen.

www.tenable.com