CVE-2010-1428
Red Hat JBoss Information Disclosure Vulnerability
Beschreibung
CVE-2010-1428 ist eine Informationsoffenlegungs-Schwachstelle in der Red Hat JBoss Application Server Web Console, die es nicht authentifizierten entfernten Angreifern ermöglicht, über eine unvollständige HTTP-Verb-Einschränkung auf sensible Informationen zuzugreifen. Obwohl der Zugang zur Web Console (/web-console) standardmäßig blockiert ist, beschränkt der Zugriffskontrollmechanismus nur GET- und POST-HTTP-Methoden, sodass Angreifer alternative HTTP-Verben verwenden können, um die Einschränkung zu umgehen. CISA hat die aktive Ausnutzung bestätigt und CVE-2010-1428 als mit Ransomware-Kampagnen verbunden gekennzeichnet. Mit einem EPSS-Perzentil von 98,5 % gehört diese Schwachstelle zu den am häufigsten ausgenutzten.
KEV-Informationen
CVSS-Score
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:NIm Rechner öffnenCWEs
Betroffene Produkte
| Hersteller | Produkt | Version |
|---|---|---|
| redhat | jboss enterprise application platform | 4.2.0; 4.3.0 |
Mehrere CVSS-Bewertungen
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N
Referenzen
- http://marc.info/?l=bugtraq&m=132698550418872&w=2(Exploit, Mailing List)
- http://secunia.com/advisories/39563(Broken Link, Vendor Advisory)
- http://securitytracker.com/id?1023917(Broken Link, Third Party Advisory, VDB Entry)
- http://www.securityfocus.com/bid/39710(Broken Link, Third Party Advisory, VDB Entry)
- http://www.vupen.com/english/advisories/2010/0992(Broken Link, Vendor Advisory)
- https://bugzilla.redhat.com/show_bug.cgi?id=585899(Issue Tracking)
- https://exchange.xforce.ibmcloud.com/vulnerabilities/58148(Third Party Advisory, VDB Entry)
- https://rhn.redhat.com/errata/RHSA-2010-0376.html(Broken Link, Vendor Advisory)
- https://rhn.redhat.com/errata/RHSA-2010-0377.html(Broken Link)
- https://rhn.redhat.com/errata/RHSA-2010-0378.html(Broken Link)
- https://rhn.redhat.com/errata/RHSA-2010-0379.html(Vendor Advisory)
- https://www.cisa.gov/known-exploited-vulnerabilities-catalog?field_cve=CVE-2010-1428(Broken Link)
Schwachstellentyp
Da CVE-2010-1428 keinem spezifischen CWE zugeordnet wurde, bleibt der zugrunde liegende Schwachstellentyp formal unspezifiziert. Die Schwachstelle ist jedoch eindeutig eine Authentifizierungsumgehung durch HTTP-Verb-Manipulation, bei der die Zugriffskontrolle nur auf GET- und POST-Methoden angewendet wird, nicht jedoch auf andere HTTP-Verben. Dies ist eine Form unzureichender Zugriffskontrolle, die Einschränkungen nicht konsistent über alle möglichen Anfragemethoden einer geschützten Ressource durchsetzt.
Auswirkungsanalyse
CVE-2010-1428 ermöglicht es nicht authentifizierten entfernten Angreifern, auf die JBoss Application Server Web Console zuzugreifen, die sensible administrative Informationen über die Anwendungsserver-Konfiguration, bereitgestellte Anwendungen und Laufzeitumgebung offenlegt. Die Schwachstelle ist ferngesteuert über das Netzwerk ausnutzbar, erfordert keine Authentifizierung und keine Benutzerinteraktion bei niedriger Angriffskomplexität — ein Angreifer muss lediglich HTTP-Anfragen mit anderen Methoden als GET oder POST senden. Die offengelegten Informationen können Server-Konfigurationsdetails, Namen bereitgestellter Anwendungen, Datenquellenkonfigurationen und JMX-Bean-Informationen umfassen, die weitere Angriffe erleichtern. CISAs Ransomware-Kennzeichnung zeigt, dass diese Schwachstelle als Teil mehrstufiger Angriffe verwendet wurde. Das EPSS-Perzentil von 98,5 % bestätigt die hohe Ausnutzungshäufigkeit.
Exploit-Reifegrad
CISA hat die aktive Ausnutzung von CVE-2010-1428 bestätigt und die Schwachstelle mit einer Behebungsfrist bis zum 15. Juni 2022 in den Known Exploited Vulnerabilities Katalog aufgenommen. CISA hat diese Schwachstelle als mit Ransomware-Kampagnen verbunden gekennzeichnet. Das EPSS-Perzentil von 98,5 % platziert sie unter die am meisten ausgenutzten CVEs. Die für die Ausnutzung erforderliche HTTP-Verb-Manipulation ist trivial — sie erfordert nur grundlegende HTTP-Anfragenmanipulation — und macht sie für Angreifer aller Fähigkeitsstufen zugänglich.
Behebung
- Wenden Sie Sicherheitsupdates von Red Hat an, die CVE-2010-1428 adressieren. CISAs vorgeschriebene Maßnahme lautet: Updates gemäß Herstelleranweisungen anwenden.
- Stellen Sie sicher, dass die Zugriffskontrolle der JBoss Web Console alle HTTP-Methoden einschränkt, nicht nur GET und POST. Konfigurieren Sie die Sicherheitseinschränkungen im Deployment-Deskriptor der Webanwendung so, dass alle HTTP-Verben abgedeckt werden.
- Entfernen oder deaktivieren Sie die Web Console vollständig auf JBoss-Produktionsinstanzen, auf denen sie für den Betrieb nicht benötigt wird.
- Platzieren Sie den JBoss Application Server hinter einem Reverse Proxy oder einer Web Application Firewall (WAF), die methodenbasierte Zugriffskontrollen unabhängig vom Anwendungsserver durchsetzen kann.
- Beschränken Sie den Netzwerkzugang zu administrativen JBoss-Schnittstellen (einschließlich Web Console und JMX Console) auf autorisierte Verwaltungsnetzwerke und stellen Sie sicher, dass sie niemals direkt dem Internet ausgesetzt sind.
Technische Details
CVE-2010-1428 nutzt eine unvollständige Zugriffskontrollimplementierung in der JBoss Application Server Web Console aus. Die Web Console (/web-console) bietet eine webbasierte Schnittstelle zur Anzeige des JBoss-Serverstatus, bereitgestellter Anwendungen und Konfigurationsdetails. Standardmäßig ist der Zugriff auf diese Konsole eingeschränkt, aber die Einschränkung wird über eine Sicherheitsbeschränkung implementiert, die nur für GET- und POST-HTTP-Methoden gilt. Das Senden derselben Anfragen mit alternativen HTTP-Verben (HEAD, PUT, DELETE, OPTIONS oder benutzerdefinierten Methoden) umgeht die Zugriffskontrolle vollständig, da die Sicherheitsbeschränkung diese Methoden nicht erfasst und die Anfrage ohne Authentifizierung verarbeitet wird. Dies ist ein klassischer HTTP-Verb-Tampering-Angriff, der die häufige Fehlkonfiguration ausnutzt, Sicherheitsbeschränkungen nur auf erwartete HTTP-Methoden anzuwenden.
Häufig gestellte Fragen
Wird CVE-2010-1428 aktiv ausgenutzt?
Ja, CISA hat die aktive Ausnutzung von CVE-2010-1428 bestätigt und sie als mit Ransomware-Kampagnen verbunden gekennzeichnet. Das EPSS-Perzentil von 98,5 % bestätigt eine sehr hohe Ausnutzungsaktivität. Die triviale Natur des HTTP-Verb-Tampering-Exploits macht ihn für eine breite Palette von Angreifern zugänglich.
Welche Produkte sind von CVE-2010-1428 betroffen?
CVE-2010-1428 betrifft den Red Hat JBoss Application Server, insbesondere die Web-Console-Komponente. Alle Versionen, die die standardmäßige HTTP-Verb-eingeschränkte Zugriffskontrolle für die Web Console verwenden, sind bis zum Patch verwundbar.
Wie behebe ich CVE-2010-1428?
Wenden Sie Red Hat-Sicherheitsupdates an, die CVE-2010-1428 adressieren. Konfigurieren Sie zusätzlich die Sicherheitsbeschränkungen so, dass alle HTTP-Methoden abgedeckt werden, nicht nur GET und POST. Idealerweise deaktivieren Sie die Web Console auf Produktionssystemen und beschränken den Netzwerkzugang zu administrativen Schnittstellen.
Wie schwerwiegend ist CVE-2010-1428?
CVE-2010-1428 hat ein EPSS-Perzentil von 98,5 % und ist mit Ransomware-Kampagnen verbunden. Obwohl es eine Informationsoffenlegungs-Schwachstelle ist, ermöglichen die offengelegten administrativen Informationen weitere Ausnutzung. Der triviale Exploit-Mechanismus und die sensiblen offengelegten Daten machen sie zu einem kritischen Befund in jeder JBoss-Bereitstellung.
Hilfe beim Schwachstellenmanagement?
Unsere Sicherheitsexperten helfen Ihnen bei der Priorisierung und Behebung von Schwachstellen.