CVE-2015-7450
IBM WebSphere Application Server and Server Hypervisor Edition Code Injection.
Beschreibung
CVE-2015-7450 ist eine kritische Deserialisierungs-Schwachstelle in IBM WebSphere Application Server und verschiedenen weiteren IBM-Produkten, die die Apache Commons Collections-Bibliothek verwenden. Über serialisierte Objekt-Schnittstellen kann ein nicht authentifizierter Angreifer aus der Ferne beliebige Befehle ausführen, indem er ein speziell konstruiertes serialisiertes Java-Objekt sendet, das die InvokerTransformer-Klasse ausnutzt. Betroffen sind unter anderem WebSphere Application Server 7.0, 8.0, 8.5, IBM Sterling B2B Integrator, IBM Tivoli Common Reporting und IBM Watson-Produkte. CISA hat CVE-2015-7450 in den KEV-Katalog aufgenommen und mit einem EPSS-Score von 93,5 % (99,8. Perzentile) ist die Ausnutzungswahrscheinlichkeit extrem hoch.
KEV-Informationen
CVSS-Score
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:HIm Rechner öffnenBetroffene Produkte
| Hersteller | Produkt | Version |
|---|---|---|
| ibm | sterling b2b integrator | 5.2 |
| ibm | sterling integrator | 5.1 |
| ibm | tivoli common reporting | 2.1; 2.1.1; 2.1.1.2; 3.1; 3.1.0.1; 3.1.0.2; 3.1.2; 3.1.2.1 |
| ibm | watson content analytics | >= 3.0, <= 3.0.0.6; >= 3.5, <= 3.5.0.3 |
| ibm | watson explorer analytical components | >= 10.0, <= 10.0.0.2; 11.0 |
| ibm | watson explorer annotation administration console | >= 10.0, <= 10.0.0.2; 11.0 |
| ibm | websphere application server | 7.0.0.0; 8.0.0.0; 8.5; 8.5.0.0; 8.5.5.5 |
Mehrere CVSS-Bewertungen
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
Referenzen
- http://www-01.ibm.com/support/docview.wss?uid=swg21970575(Vendor Advisory)
- http://www-01.ibm.com/support/docview.wss?uid=swg21971342(Vendor Advisory)
- http://www-01.ibm.com/support/docview.wss?uid=swg21971376(Vendor Advisory)
- http://www-01.ibm.com/support/docview.wss?uid=swg21971733(Broken Link)
- http://www-01.ibm.com/support/docview.wss?uid=swg21971758(Vendor Advisory)
- http://www-01.ibm.com/support/docview.wss?uid=swg21972799(Vendor Advisory)
- http://www.securityfocus.com/bid/77653(Broken Link, Third Party Advisory, VDB Entry)
- http://www.securitytracker.com/id/1035125(Broken Link, Third Party Advisory, VDB Entry)
- https://www.exploit-db.com/exploits/41613/(Exploit, Third Party Advisory, VDB Entry)
- https://www.cisa.gov/known-exploited-vulnerabilities-catalog?field_cve=CVE-2015-7450(US Government Resource)
Schwachstellentyp
CWE-502: Deserialisierung nicht vertrauenswürdiger Daten
Deserialisierung nicht vertrauenswürdiger Daten tritt auf, wenn eine Anwendung Daten aus einer nicht vertrauenswürdigen Quelle deserialisiert, ohne ausreichend zu prüfen, ob die resultierenden Daten gültig und sicher sind. Im Fall von CVE-2015-7450 nutzt ein Angreifer die InvokerTransformer-Klasse der Apache Commons Collections-Bibliothek, um bei der Deserialisierung beliebige Befehle auszuführen — ein klassisches Beispiel für eine Java-Deserialisierungs-Gadget-Chain.
Weitere Informationen: CWE-502 — Deserialisierung nicht vertrauenswürdiger Daten
Auswirkungsanalyse
CVE-2015-7450 hat einen CVSS 3.1-Score von 9.8 (CRITICAL) und stellt eine äußerst schwerwiegende Bedrohung dar. Die Schwachstelle ist über das Netzwerk ausnutzbar (Attack Vector: NETWORK), erfordert keine besonderen Bedingungen (Attack Complexity: LOW), keine Authentifizierung (Privileges Required: NONE) und keine Benutzerinteraktion (User Interaction: NONE). Eine erfolgreiche Ausnutzung gefährdet die Vertraulichkeit (HIGH), Integrität (HIGH) und Verfügbarkeit (HIGH) vollständig, da ein Angreifer beliebige Befehle auf dem Server mit den Privilegien des Anwendungsservers ausführen kann. Da WebSphere Application Server häufig in Unternehmensumgebungen für geschäftskritische Anwendungen eingesetzt wird, kann die Kompromittierung zu Datendiebstahl, Systemmanipulation und vollständiger Infrastrukturübernahme führen. Der EPSS-Score von 93,5 % bestätigt die nahezu sichere aktive Ausnutzung.
Exploit-Reifegrad
CVE-2015-7450 wird durch die Aufnahme in den CISA Known Exploited Vulnerabilities-Katalog als aktiv ausgenutzt eingestuft. Öffentlicher Exploit-Code ist verfügbar über Exploit-DB (ID 41613), der eine vollständige Ausnutzung der Deserialisierungs-Schwachstelle demonstriert. Der EPSS-Score von 93,5 % (99,8. Perzentile) zeigt eine extrem hohe Ausnutzungswahrscheinlichkeit. Die Apache Commons Collections Deserialisierungs-Schwachstelle ist eine der bekanntesten Java-Schwachstellenklassen und verfügbare Tools wie ysoserial ermöglichen die automatisierte Generierung von Exploit-Payloads, was die Einstiegshürde für Angreifer erheblich senkt.
Behebung
- Pflichtmaßnahme laut CISA KEV: Apply updates per vendor instructions. Wenden Sie die von IBM bereitgestellten Patches für alle betroffenen Produkte umgehend an.
- Aktualisieren Sie WebSphere Application Server auf eine gepatchte Version gemäß IBM Security Bulletin. Für Sterling B2B Integrator, Tivoli Common Reporting und Watson-Produkte stehen separate Patches bereit (siehe IBM Support Dokumente swg21970575, swg21971342, swg21971376, swg21971758, swg21972799).
- Entfernen oder ersetzen Sie die verwundbare Apache Commons Collections-Bibliothek durch eine gepatchte Version (3.2.2 oder 4.1+), in der die InvokerTransformer-Klasse standardmäßig deaktiviert ist. Deaktivieren Sie ungenutzten serialisierten Objekt-Schnittstellen.
- Überwachen Sie Netzwerkverkehr auf verdächtige serialisierte Java-Objekte (erkennbar am Magic Byte „aced0005“ in Netzwerkpaketen). Implementieren Sie Deserialisierungs-Filter (JEP 290) und konfigurieren Sie Allowlists für zulässige Klassen.
- Isolieren Sie WebSphere-Instanzen in segmentierten Netzwerkzonen und beschränken Sie den Zugriff auf Management-Ports. Implementieren Sie als langfristige Maßnahme textbasierte Formate (JSON, XML) anstelle von Java-Serialisierung für die Datenkommunikation.
Technische Details
CVE-2015-7450 basiert auf einer Deserialisierungs-Schwachstelle (CWE-502) in IBM-Produkten, die die Apache Commons Collections-Bibliothek verwenden. Der Angriff nutzt die InvokerTransformer-Klasse als Teil einer sogenannten Gadget-Chain: Ein speziell konstruiertes serialisiertes Java-Objekt wird an eine exponierte Schnittstelle gesendet, die das Objekt deserialisiert. Während der Deserialisierung wird die Gadget-Chain ausgeführt, die über den InvokerTransformer beliebige Methoden aufruft und so Betriebssystembefehle ausführt. Der CVSS-Vektor CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H zeigt die maximale Ausnutzbarkeit: Die Schwachstelle erfordert keine Authentifizierung und ermöglicht die vollständige Kompromittierung des Servers mit den Privilegien des Anwendungsservers.
Häufig gestellte Fragen
Wird CVE-2015-7450 aktiv ausgenutzt?
Ja. CVE-2015-7450 ist im CISA Known Exploited Vulnerabilities-Katalog gelistet, was eine aktive Ausnutzung in der Praxis bestätigt. Öffentlicher Exploit-Code ist über Exploit-DB verfügbar und der EPSS-Score von 93,5 % (99,8. Perzentile) zeigt eine extrem hohe Ausnutzungswahrscheinlichkeit.
Welche Produkte sind von CVE-2015-7450 betroffen?
CVE-2015-7450 betrifft eine Vielzahl von IBM-Produkten, darunter WebSphere Application Server (Versionen 7.0, 8.0, 8.5, 8.5.5.5), Sterling B2B Integrator 5.2, Sterling Integrator 5.1, Tivoli Common Reporting (mehrere Versionen), Watson Content Analytics und Watson Explorer. Alle Produkte, die die verwundbare Apache Commons Collections-Bibliothek verwenden, sind potenziell betroffen.
Wie behebe ich CVE-2015-7450?
Wenden Sie die von IBM bereitgestellten Patches für alle betroffenen Produkte an. Ersetzen Sie zusätzlich die verwundbare Apache Commons Collections-Bibliothek durch eine gepatchte Version (3.2.2 oder 4.1+). Implementieren Sie Java-Deserialisierungs-Filter und beschränken Sie den Zugriff auf serialisierte Objekt-Schnittstellen.
Wie schwerwiegend ist CVE-2015-7450?
CVE-2015-7450 hat einen CVSS 3.1-Score von 9.8 (CRITICAL). Die Schwachstelle ermöglicht unauthentifizierte Remote Code Execution auf Unternehmens-Anwendungsservern und betrifft eine breite Palette von IBM-Produkten. Die Verfügbarkeit automatisierter Exploit-Tools erhöht die Dringlichkeit der Behebung zusätzlich.
Hilfe beim Schwachstellenmanagement?
Unsere Sicherheitsexperten helfen Ihnen bei der Priorisierung und Behebung von Schwachstellen.