CVE-2017-12149
Red Hat JBoss Application Server Remote Code Execution Vulnerability
Beschreibung
CVE-2017-12149 ist eine kritische Deserialisierungs-Schwachstelle im JBoss Application Server, der mit Red Hat Enterprise Application Platform 5.2 ausgeliefert wird. Die doFilter-Methode im ReadOnlyAccessFilter des HTTP Invoker beschränkt die Klassen, die deserialisiert werden, nicht, wodurch ein Angreifer über manipulierte serialisierte Daten beliebigen Code ausführen kann. CISA hat diese Schwachstelle in den KEV-Katalog aufgenommen und bestätigt damit die aktive Ausnutzung. Die Schwachstelle ist zudem als in Ransomware-Kampagnen verwendet bekannt. Mit einem EPSS-Score von 94,29 % (99,94. Perzentile) ist die Wahrscheinlichkeit aktiver Ausnutzung nahezu sicher.
KEV-Informationen
CVSS-Score
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:HIm Rechner öffnenBetroffene Produkte
| Hersteller | Produkt | Version |
|---|---|---|
| redhat | jboss enterprise application platform | -; 5.0.0; 5.0.1; 5.1.0; 5.1.1; 5.1.2; 5.2.0; 5.2.1; 5.2.2 |
Mehrere CVSS-Bewertungen
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
Referenzen
- http://www.securityfocus.com/bid/100591(Broken Link, Third Party Advisory, VDB Entry)
- https://access.redhat.com/errata/RHSA-2018:1607(Third Party Advisory)
- https://access.redhat.com/errata/RHSA-2018:1608(Third Party Advisory)
- https://bugzilla.redhat.com/show_bug.cgi?id=1486220(Issue Tracking)
- https://github.com/gottburgm/Exploits/tree/master/CVE-2017-12149(Third Party Advisory)
- https://www.cisa.gov/known-exploited-vulnerabilities-catalog?field_cve=CVE-2017-12149(US Government Resource)
Schwachstellentyp
CWE-502: Deserialisierung nicht vertrauenswürdiger Daten
Deserialisierung nicht vertrauenswürdiger Daten tritt auf, wenn eine Anwendung Daten aus einer nicht vertrauenswürdigen Quelle deserialisiert, ohne ausreichend zu überprüfen, dass die resultierenden Daten gültig und sicher sind. Im Fall von JBoss Application Server führt der ReadOnlyAccessFilter des HTTP Invoker eine Deserialisierung ohne Klasseneinschränkungen durch, wodurch Angreifer über speziell präparierte serialisierte Payloads beliebige Objekte instanziieren und Code ausführen können.
Weitere Informationen: CWE-502 — Deserialisierung nicht vertrauenswürdiger Daten
Auswirkungsanalyse
CVE-2017-12149 hat einen CVSS 3.1-Score von 9.8 (CRITICAL) und stellt eine äußerst kritische Bedrohung dar. Die Schwachstelle ist über das Netzwerk ausnutzbar, mit niedriger Angriffskomplexität und ohne erforderliche Authentifizierung oder Benutzerinteraktion. Eine erfolgreiche Ausnutzung führt zu einer vollständigen Kompromittierung von Vertraulichkeit, Integrität und Verfügbarkeit. Besonders besorgniserregend ist, dass diese Schwachstelle in Ransomware-Kampagnen verwendet wird, was das Risiko für betroffene Organisationen erheblich erhöht. Der EPSS-Score von 94,29 % (99,94. Perzentile) signalisiert nahezu sichere Ausnutzungsaktivität. Organisationen, die Red Hat Enterprise Application Platform 5.x einsetzen, sind einem maximalen Risiko der vollständigen Systemkompromittierung ausgesetzt.
Exploit-Reifegrad
CVE-2017-12149 wird durch die Aufnahme in den CISA Known Exploited Vulnerabilities-Katalog als aktiv ausgenutzt bestätigt und ist zudem als in Ransomware-Kampagnen verwendet bekannt. Der EPSS-Score von 94,29 % (99,94. Perzentile) deutet auf nahezu sichere Ausnutzungsaktivität hin. Auf GitHub ist Exploit-Code (gottburgm/Exploits) verfügbar, der die Ausnutzung demonstriert. Die Behebungsfrist laut CISA war der 2022-06-10. Angesichts der Ransomware-Verbindung und der weiten Verbreitung von JBoss-Instanzen ist eine sofortige Behebung kritisch.
Behebung
- Pflichtmaßnahme laut CISA KEV: Apply updates per vendor instructions. Installieren Sie die Red Hat Errata RHSA-2018:1607 und RHSA-2018:1608.
- Aktualisieren Sie die Red Hat Enterprise Application Platform 5.x auf eine aktuelle, unterstützte Version. Betroffene Versionen umfassen EAP 5.0.0 bis 5.2.2 einschließlich aller Unterversionen.
- Falls ein sofortiges Update nicht möglich ist, deaktivieren Sie den HTTP Invoker oder beschränken Sie den Zugriff auf den JBoss-Endpunkt mittels Firewall-Regeln. Implementieren Sie Allowlists für die Deserialisierung, um nur vertrauenswürdige Klassen zuzulassen.
- Überwachen Sie Systeme auf Kompromittierungsindikatoren, insbesondere ungewöhnliche Deserialisierungsaktivitäten, unerwartete Prozesse und verdächtige Netzwerkverbindungen. Angesichts der Ransomware-Verbindung sollten Sie auch auf Ransomware-typische Aktivitäten achten.
- Implementieren Sie langfristig den Wechsel zu sicheren Datenformaten (JSON, XML) anstelle von Java-Serialisierung und setzen Sie Deserialisierungsfilter wie SerialKiller ein, um die Angriffsfläche zu reduzieren.
Technische Details
CVE-2017-12149 betrifft den JBoss Application Server in der Red Hat Enterprise Application Platform 5.2. Die Schwachstelle befindet sich in der doFilter-Methode des ReadOnlyAccessFilter des HTTP Invoker, der eingehende Daten ohne Klasseneinschränkung deserialisiert. Dies ist eine klassische Java-Deserialisierungs-Schwachstelle (CWE-502), bei der ein Angreifer speziell konstruierte serialisierte Java-Objekte an den HTTP-Invoker-Endpunkt senden kann. Diese sogenannten „Gadget Chains" lösen bei der Deserialisierung die Ausführung beliebigen Codes aus. Der CVSS-Vektor CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H reflektiert die maximale Ausnutzbarkeit — netzwerkbasiert, ohne Authentifizierung, mit niedrigster Komplexität und vollständiger Kompromittierung aller Sicherheitsziele.
Häufig gestellte Fragen
Wird CVE-2017-12149 aktiv ausgenutzt?
Ja. CVE-2017-12149 ist im CISA Known Exploited Vulnerabilities-Katalog gelistet und wird aktiv in Ransomware-Kampagnen verwendet. Der EPSS-Score von 94,29 % (99,94. Perzentile) bestätigt nahezu sichere Ausnutzungsaktivität. Öffentlicher Exploit-Code ist auf GitHub verfügbar.
Welche Produkte sind von CVE-2017-12149 betroffen?
CVE-2017-12149 betrifft den JBoss Application Server in der Red Hat Enterprise Application Platform. Konkret betroffen sind die Versionen 5.0.0, 5.0.1, 5.1.0, 5.1.1, 5.1.2, 5.2.0, 5.2.1 und 5.2.2 der Enterprise Application Platform.
Wie behebe ich CVE-2017-12149?
Installieren Sie die Red Hat Errata RHSA-2018:1607 und RHSA-2018:1608 oder aktualisieren Sie auf eine aktuelle, unterstützte Version der Enterprise Application Platform. Falls ein sofortiges Update nicht möglich ist, deaktivieren Sie den HTTP Invoker oder beschränken Sie den Netzwerkzugriff auf den JBoss-Endpunkt.
Wie schwerwiegend ist CVE-2017-12149?
CVE-2017-12149 hat einen CVSS 3.1-Score von 9.8 (CRITICAL) — die höchstmögliche Schweregradbewertung. Die Schwachstelle ermöglicht Remote Code Execution ohne Authentifizierung und wird aktiv in Ransomware-Kampagnen eingesetzt. Eine sofortige Behebung ist zwingend erforderlich.
Hilfe beim Schwachstellenmanagement?
Unsere Sicherheitsexperten helfen Ihnen bei der Priorisierung und Behebung von Schwachstellen.