CVE-2013-0422
Oracle JRE Remote Code Execution Vulnerability
Beschreibung
CVE-2013-0422 ist eine kritische Remotecodeausführungs-Schwachstelle in Oracle Java 7 (vor Update 11), die durch unsachgemäße Zugriffskontrolle in der Java-Applet-Sandbox verursacht wird. Durch die Verkettung der öffentlichen Methode getMBeanInstantiator in der Klasse JmxMBeanServer mit einem Reflection-API-Rekursionsfehler kann ein bösartiges Applet die Sicherheitsprüfungen der Sandbox umgehen und beliebigen Code außerhalb seiner vorgesehenen Beschränkungen ausführen. Die Lücke wurde im Januar 2013 in freier Wildbahn ausgenutzt und rasch in die Exploit-Kits Blackhole und Nuclear Pack integriert — Toolkits, die weithin zur Verbreitung von Schadsoftware und Ransomware über Drive-by-Downloads genutzt wurden. Mit einem CVSS-Score von 9.8, einem EPSS-Score von 93,6 % (99,8. Perzentil), bestätigter Nutzung in Ransomware-Kampagnen und einer CISA-KEV-Listung gehört CVE-2013-0422 zu den am stärksten waffenfähig gemachten Java-Schwachstellen ihrer Zeit.
KEV-Informationen
CVSS-Score
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:HIm Rechner öffnenBetroffene Produkte
| Hersteller | Produkt | Version |
|---|---|---|
| oracle | jdk | 1.7.0 |
| oracle | jre | 1.7.0 |
| canonical | ubuntu linux | 12.10 |
| opensuse | opensuse | 12.2 |
Referenzen
- http://blog.fireeye.com/research/2013/01/happy-new-year-from-new-java-zero-day.html(Not Applicable)
- http://blog.fuseyism.com/index.php/2013/01/15/security-icedtea-2-1-4-2-2-4-2-3-4-released/(Broken Link)
- http://immunityproducts.blogspot.ca/2013/01/confirmed-java-only-fixed-one-of-two.html(Third Party Advisory)
- http://krebsonsecurity.com/2013/01/zero-day-java-exploit-debuts-in-crimeware/(Third Party Advisory)
- http://labs.alienvault.com/labs/index.php/2013/new-year-new-java-zeroday/(Broken Link, Third Party Advisory)
- http://lists.opensuse.org/opensuse-security-announce/2013-01/msg00025.html(Mailing List, Third Party Advisory)
- http://malware.dontneedcoffee.com/2013/01/0-day-17u10-spotted-in-while-disable.html(Third Party Advisory)
- http://rhn.redhat.com/errata/RHSA-2013-0156.html(Third Party Advisory)
- http://rhn.redhat.com/errata/RHSA-2013-0165.html(Third Party Advisory)
- http://seclists.org/bugtraq/2013/Jan/48(Mailing List, Third Party Advisory)
- http://www.kb.cert.org/vuls/id/625617(Third Party Advisory, US Government Resource)
- http://www.mandriva.com/security/advisories?name=MDVSA-2013:095(Not Applicable)
- http://www.oracle.com/technetwork/topics/security/alert-cve-2013-0422-1896849.html(Vendor Advisory)
- http://www.ubuntu.com/usn/USN-1693-1(Third Party Advisory)
- http://www.us-cert.gov/cas/techalerts/TA13-010A.html(Third Party Advisory, US Government Resource)
- https://partners.immunityinc.com/idocs/Java%20MBeanInstantiator.findClass%200day%20Analysis.pdf(Broken Link)
- https://threatpost.com/en_us/blogs/nasty-new-java-zero-day-found-exploit-kits-already-have-it-011013(Not Applicable)
- https://wiki.mageia.org/en/Support/Advisories/MGASA-2013-0018(Third Party Advisory)
- https://www-304.ibm.com/connections/blogs/PSIRT/entry/oracle_java_7_security_manager_bypass_vulnerability_cve_2013_04224?lang=en_us(Not Applicable)
- https://www.cisa.gov/known-exploited-vulnerabilities-catalog?field_cve=CVE-2013-0422(US Government Resource)
Schwachstellentyp
CWE-284: Unsachgemäße Zugriffskontrolle
In Oracle Java 7 erlaubt die unsachgemäße Zugriffskontrolle einem nicht vertrauenswürdigen Applet, Funktionalität zu erreichen, die für Sandbox-Code tabu sein sollte: Es nutzt die öffentliche Methode getMBeanInstantiator, um ein privates MBeanInstantiator-Objekt zu erlangen und über findClass beliebige Class-Referenzen abzurufen, und missbraucht Reflection-API-Rekursion, um die Sicherheitsprüfung von MethodHandles.Lookup zu umgehen. Im Ergebnis werden die Zugriffskontrollen, die Applets auf die Sandbox beschränken sollen, umgangen, was vollständige Codeausführung ermöglicht.
Mehr erfahren: CWE-284 — Unsachgemäße Zugriffskontrolle
Auswirkungsanalyse
CVE-2013-0422 hat einen CVSS-3.1-Score von 9.8 (KRITISCH). Sie ist aus der Ferne über das Netzwerk mit geringer Komplexität ausnutzbar, erfordert keine Authentifizierung und keine Benutzerinteraktion über das Laden einer Seite mit einem bösartigen Applet hinaus und kompromittiert Vertraulichkeit, Integrität und Verfügbarkeit des betroffenen Systems vollständig, da die Ausnutzung aus der Java-Sandbox ausbricht, um beliebigen Code auszuführen. Der EPSS-Score von 93,6 % (99,8. Perzentil) spiegelt eine nahezu sichere Ausnutzungsaktivität wider, und CISA hat diese Schwachstelle als bekanntermaßen in Ransomware-Kampagnen genutzt gekennzeichnet — passend zu ihrer Integration in die Exploit-Kits Blackhole und Nuclear Pack, die Ransomware und andere Schadsoftware in großem Maßstab auslieferten. Jedes System, das noch das verwundbare Java-7-Browser-Plugin betreibt, ist einem hohen Risiko einer Drive-by-Kompromittierung mit anschließendem Ransomware-Einsatz ausgesetzt.
Exploit-Reifegrad
CVE-2013-0422 hat eine äußerst ausgereifte und stark waffenfähig gemachte Exploit-Historie. Sie wurde im Januar 2013 als Zero-Day in freier Wildbahn ausgenutzt und schnell in den Exploit-Kits Blackhole und Nuclear Pack demonstriert, den dominierenden Crimeware-Plattformen jener Zeit, wie von KrebsOnSecurity und FireEye dokumentiert. CISA bestätigt durch seine KEV-Listung die aktive Ausnutzung und kennzeichnet die Schwachstelle als bekanntermaßen in Ransomware-Kampagnen genutzt, und der EPSS-Score von 93,6 % (99,8. Perzentil) deutet auf eine nahezu sichere Ausnutzungsaktivität hin. Zuverlässige Exploits sind seit über einem Jahrzehnt in gängige Angriffs-Toolkits eingebettet, sodass jede exponierte, verwundbare Java-7-Installation als unmittelbar gefährdet betrachtet werden sollte.
Behebung
- Updates gemäß Herstelleranweisungen einspielen, wie es die CISA-KEV-Listung erfordert: Aktualisieren Sie Oracle Java auf mindestens Java 7 Update 11 (und vorzugsweise auf ein aktuelles, unterstütztes Java-Release), da das betroffene JDK/JRE 1.7.0 vor Update 11 ist.
- Deaktivieren Sie das Java-Browser-Plugin vollständig, wo es nicht zwingend benötigt wird, da der Angriffsvektor bösartige, über den Browser ausgelieferte Applets sind — dies ist die einzelne wirksamste Maßnahme gegen Drive-by-Ausnutzung.
- Aktualisieren Sie betroffene Linux-Distributionen auf gepatchte Pakete — Red Hat (RHSA-2013-0156/0165), openSUSE 12.2 und Ubuntu 12.10 lieferten alle Fixes aus — und entfernen Sie nicht unterstützte Java-Versionen aus dem Bestand.
- Setzen Sie angesichts der dokumentierten Ransomware- und Exploit-Kit-Nutzung Web-Filterung ein, um bekannte Exploit-Kit-Infrastruktur zu blockieren, und überwachen Sie auf Indikatoren für Drive-by-Ausnutzung und Anzeichen eines Ransomware-Einsatzes.
- Eliminieren Sie als langfristige Härtung gegen Sandbox-Ausbrüche durch unsachgemäße Zugriffskontrolle browserbasierte Java-Applets, halten Sie Java-Laufzeitumgebungen aktuell und wenden Sie Application Allowlisting an, um zu begrenzen, welcher unerwartete Code ausgeführt werden kann.
Technische Details
CVE-2013-0422 ist eine Schwachstelle durch unsachgemäße Zugriffskontrolle (CWE-284) in Oracle Java 7 vor Update 11, die einen Sandbox-Ausbruch ermöglicht. Sie kombiniert zwei Probleme: die Nutzung der öffentlichen Methode getMBeanInstantiator in der Klasse JmxMBeanServer, um eine Referenz auf ein privates MBeanInstantiator-Objekt zu erlangen und dann über findClass beliebige Class-Referenzen abzurufen; und den Missbrauch von Rekursion in der Reflection-API, um die Sicherheitsprüfung in java.lang.invoke.MethodHandles.Lookup.checkSecurityManager zu umgehen, weil sun.reflect.Reflection.getCallerClass es versäumt, Frames der neuen Reflection-API zu überspringen. Zusammen heben diese die Zugriffskontrollen auf, die Applet-Code beschränken, und ermöglichen beliebige Codeausführung. Der CVSS-Vektor (CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H) spiegelt einen über das Netzwerk erreichbaren, gering komplexen, nicht authentifizierten Angriff mit voller Auswirkung auf Vertraulichkeit, Integrität und Verfügbarkeit wider; sie ist von CVE-2012-4681 und CVE-2012-3174 verschieden.
Häufig gestellte Fragen
Wird CVE-2013-0422 aktiv ausgenutzt?
Ja. CVE-2013-0422 wurde im Januar 2013 als Zero-Day in freier Wildbahn ausgenutzt, ist im CISA-KEV-Katalog gelistet und von CISA als bekanntermaßen in Ransomware-Kampagnen genutzt gekennzeichnet. Der EPSS-Score von 93,6 % (99,8. Perzentil) bestätigt eine nahezu sichere Ausnutzungsaktivität, und sie war ein fester Bestandteil der Exploit-Kits Blackhole und Nuclear Pack.
Welche Produkte sind von CVE-2013-0422 betroffen?
Die Schwachstelle betrifft Oracle Java 7 (JDK und JRE 1.7.0) vor Update 11, einschließlich der mit Distributionen wie Ubuntu 12.10 und openSUSE 12.2 ausgelieferten Java-Pakete. Java 6 wurde zunächst als betroffen gemeldet, später jedoch als nicht ausnutzbar eingestuft.
Wie behebe ich CVE-2013-0422?
Aktualisieren Sie Oracle Java auf mindestens Java 7 Update 11 und vorzugsweise auf ein aktuelles unterstütztes Release. Deaktivieren Sie das Java-Browser-Plugin, wo es nicht benötigt wird, da bösartige Applets der Angriffsvektor sind, und spielen Sie die gepatchten Java-Pakete Ihrer Distribution ein.
Wie schwerwiegend ist CVE-2013-0422?
CVE-2013-0422 ist mit einem CVSS-3.1-Score von 9.8 als KRITISCH eingestuft. Sie erlaubt einem bösartigen Applet, aus der Java-Sandbox auszubrechen und ohne Authentifizierung beliebigen Code auszuführen, und ist nachweislich in Ransomware-Kampagnen genutzt worden — eine der gefährlichsten Java-Schwachstellen ihrer Zeit.
Hilfe beim Schwachstellenmanagement?
Unsere Sicherheitsexperten helfen Ihnen bei der Priorisierung und Behebung von Schwachstellen.