CVE-2016-3643
SolarWinds Virtualization Manager Privilege Escalation Vulnerability
Beschreibung
CVE-2016-3643 ist eine Schwachstelle zur Privilegienerhöhung mit hohem Schweregrad in SolarWinds Virtualization Manager 6.3.1 und frueher. Die Schwachstelle entsteht durch eine Fehlkonfiguration von sudo, die es lokalen Benutzern ermoeglicht, ihre Privilegien zu Root zu erhoehen, indem sie unzureichend eingeschraenkte sudo-Befehle ausnutzen. Ein authentifizierter lokaler Angreifer kann diese Fehlkonfiguration ausnutzen, um sensible Systemdateien zu lesen, beliebige Befehle als Root auszufuehren und die vollstaendige Kontrolle ueber die SolarWinds-Virtualization-Manager-Appliance zu erlangen. CISA hat die aktive Ausnutzung dieser Schwachstelle durch Aufnahme in den Katalog der bekannten ausgenutzten Schwachstellen bestaetigt. Der EPSS-Score von 5,42 % (90,0. Perzentil) weist auf eine bemerkenswerte Ausnutzungswahrscheinlichkeit hin.
KEV-Informationen
CVSS-Score
CVSS:3.1/AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:HIm Rechner öffnenBetroffene Produkte
| Hersteller | Produkt | Version |
|---|---|---|
| solarwinds | virtualization manager | <= 6.3.1 |
Mehrere CVSS-Bewertungen
CVSS:3.1/AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H
CVSS:3.1/AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H
Referenzen
- http://packetstormsecurity.com/files/137487/Solarwinds-Virtualization-Manager-6.3.1-Privilege-Escalation.html(Exploit, Third Party Advisory, VDB Entry)
- http://seclists.org/fulldisclosure/2016/Jun/26(Mailing List, Third Party Advisory)
- https://www.exploit-db.com/exploits/39967/(Exploit, Third Party Advisory, VDB Entry)
- https://www.cisa.gov/known-exploited-vulnerabilities-catalog?field_cve=CVE-2016-3643(US Government Resource)
Schwachstellentyp
CWE-264: Berechtigungen, Privilegien und Zugriffskontrollen
CWE-264 umfasst Schwaechen im Zusammenhang mit der Verwaltung von Berechtigungen, Privilegien und anderen Sicherheitsfunktionen zur Zugriffskontrolle. Bei CVE-2016-3643 ist die SolarWinds-Virtualization-Manager-Appliance mit uebermäßig permissiven sudo-Regeln konfiguriert, die es lokalen Benutzern ermoeglichen, Befehle als Root ohne angemessene Einschraenkungen auszufuehren, was eine unautorisierte Privilegienerhöhung ermoeglicht.
Mehr erfahren: CWE-264 — Permissions, Privileges, and Access Controls
Auswirkungsanalyse
CVE-2016-3643 hat einen CVSS-3.1-Score von 7,8 (HOCH) und stellt ein erhebliches lokales Privilegienerhöhungsrisiko dar. Die Schwachstelle erfordert lokalen Zugriff und niedrigstufige Authentifizierung, hat aber eine geringe Angriffskomplexitaet und erfordert keine Benutzerinteraktion, was bedeutet, dass jeder authentifizierte Benutzer auf dem System sie leicht ausnutzen kann. Vertraulichkeit (Hoch): Ein Angreifer mit lokalem Zugriff kann jede Datei auf dem System lesen, einschliesslich sensibler Konfigurationsdateien, Datenbank-Anmeldedaten und vom Virtualization Manager verwalteter Ueberwachungsdaten. Integritaet (Hoch): Root-Zugriff ermoeglicht die Aenderung von Systemkonfigurationen, Installation von Backdoors und Manipulation von Virtualisierungsverwaltungsdaten. Verfuegbarkeit (Hoch): Vollstaendige Systemkontrolle ermoeglicht es Angreifern, den Virtualization-Manager-Dienst und die verwaltete virtuelle Infrastruktur zu stoeren. Die Verfuegbarkeit oeffentlichen Exploit-Codes und die bestaetigte aktive Ausnutzung machen dies zu einer Prioritaet fuer die Behebung.
Exploit-Reifegrad
Oeffentlicher Exploit-Code ist verfuegbar fuer CVE-2016-3643 ueber Packet Storm Security und Exploit-DB, mit detaillierten Schritten zur Reproduktion der Privilegienerhöhung. Der Exploit demonstriert die triviale Natur der sudo-Fehlkonfiguration und zeigt, dass Standardbefehle wie "sudo cat /etc/passwd" zum Zugriff auf sensible Dateien verwendet werden koennen. CISA hat die aktive Ausnutzung durch Aufnahme von CVE-2016-3643 in den Katalog der bekannten ausgenutzten Schwachstellen bestaetigt. Der EPSS-Score von 5,42 % (90,0. Perzentil) weist auf eine bemerkenswerte Ausnutzungswahrscheinlichkeit hin, und vollstaendige Offenlegungsdetails sind auf der Full-Disclosure-Mailingliste verfuegbar.
Behebung
- Updates gemaess Herstelleranweisungen anwenden, wie von CISA KEV gefordert. SolarWinds Virtualization Manager ueber Version 6.3.1 hinaus auf eine Version aktualisieren, die die sudo-Fehlkonfiguration korrigiert.
- Sudo-Regeln auf allen SolarWinds-Virtualization-Manager-Appliances sofort pruefen und einschraenken. Uebermäßig permissive sudo-Eintraege entfernen, die uneingeschraenkte Befehlsausfuehrung als Root erlauben. Das Prinzip der geringsten Privilegien auf alle sudo-Konfigurationen anwenden.
- Den lokalen Zugriff auf die SolarWinds-Virtualization-Manager-Appliance auf autorisierte Administratoren beschraenken. Starke Authentifizierungsmechanismen implementieren und unnoetige Benutzerkonten auf der Appliance deaktivieren.
- Systemprotokolle auf Hinweise unautorisierter sudo-Nutzung pruefen, insbesondere als Root ausgefuehrte Befehle durch nicht-administrative Benutzer. Auf Kompromittierungsindikatoren wie unautorisierten Dateizugriff, neue Benutzerkonten oder geaenderte Systemkonfigurationen pruefen.
- Fortlaufende Ueberwachung der sudo-Aktivitaet mittels zentraler Protokollierung und Alarmierung implementieren. Sudoers mit expliziten Befehls-Positivlisten statt breiter Berechtigungen konfigurieren und regelmaessige Sicherheitsaudits aller Privilegienerhöhungskonfigurationen durchfuehren.
Technische Details
CVE-2016-3643 ist eine Schwachstelle zur Privilegienerhöhung, die durch eine Fehlkonfiguration von sudo in SolarWinds Virtualization Manager Version 6.3.1 und frueher verursacht wird. Die Appliance wird mit sudo-Regeln ausgeliefert, die lokalen Benutzern die Moeglichkeit gewaehren, Befehle als Root ohne ausreichende Einschraenkungen auszufuehren, was jedem authentifizierten lokalen Benutzer die Privilegienerhöhung ermoeglicht. Das klassische Ausnutzungsbeispiel ist "sudo cat /etc/passwd" und aehnliche Befehle zum Lesen sensibler Systemdateien, aber die Fehlkonfiguration erstreckt sich auf beliebige Befehlsausfuehrung als Root. Der CVSS-Vektor (AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H) spiegelt wider, dass zwar lokaler Zugriff und niedrigstufige Authentifizierung erforderlich sind, die Angriffskomplexitaet aber minimal ist und keine Benutzerinteraktion benoetigt wird, was zu einer vollstaendigen Kompromittierung von Vertraulichkeit, Integritaet und Verfuegbarkeit fuehrt. Die Schwachstelle ist unter CWE-264 (Berechtigungen, Privilegien und Zugriffskontrollen) klassifiziert, da sie aus einer fehlerhaften Berechtigungskonfiguration und nicht aus einem Software-Codierfehler resultiert.
Häufig gestellte Fragen
Wird CVE-2016-3643 aktiv ausgenutzt?
Ja. CVE-2016-3643 ist im CISA-Katalog der bekannten ausgenutzten Schwachstellen gelistet, was die aktive Ausnutzung bestaetigt. Mehrere oeffentliche Exploits sind verfuegbar, die die triviale Natur der Privilegienerhöhung demonstrieren. Der EPSS-Score von 5,42 % (90,0. Perzentil) weist auf eine bemerkenswerte Ausnutzungswahrscheinlichkeit hin.
Welche Produkte sind von CVE-2016-3643 betroffen?
CVE-2016-3643 betrifft SolarWinds Virtualization Manager Version 6.3.1 und alle frueheren Versionen. Die Schwachstelle ist in der Standard-Appliance-Konfiguration vorhanden, in der sudo-Regeln uebermäßig permissiv sind.
Wie behebe ich CVE-2016-3643?
Aktualisieren Sie SolarWinds Virtualization Manager ueber Version 6.3.1 hinaus auf eine gepatchte Version. Als Sofortmassnahme pruefen und beschraenken Sie die sudo-Regeln auf der Appliance, um Least-Privilege-Zugriff durchzusetzen. Entfernen Sie alle sudo-Eintraege, die uneingeschraenkte Befehlsausfuehrung als Root erlauben.
Wie schwerwiegend ist CVE-2016-3643?
CVE-2016-3643 hat einen CVSS-3.1-Score von 7,8 (HOCH). Obwohl lokaler Zugriff erforderlich ist, ist die Privilegienerhöhung von jedem authentifizierten Benutzer zu Root trivial ausnutzbar. Das 90,0. Perzentil im EPSS-Ranking und die Verfuegbarkeit oeffentlicher Exploits bestaetigen, dass dies eine ernsthafte Schwachstelle ist, die eine zeitnahe Behebung erfordert.
Hilfe beim Schwachstellenmanagement?
Unsere Sicherheitsexperten helfen Ihnen bei der Priorisierung und Behebung von Schwachstellen.