CVE-2017-12615
Apache Tomcat on Windows Remote Code Execution Vulnerability
Beschreibung
CVE-2017-12615 ist eine schwerwiegende Datei-Upload-Schwachstelle, die Apache Tomcat betrifft. Bei der Ausführung von Apache Tomcat unter Windows mit aktivierten HTTP-PUTs ist es möglich, über eine speziell gestaltete Anfrage eine JSP-Datei auf den Server hochzuladen und auszuführen. Ein Angreifer kann diese Schwachstelle ohne Authentifizierung über das Netzwerk ausnutzen. CISA hat diese Schwachstelle in den Known Exploited Vulnerabilities-Katalog aufgenommen und damit die aktive Ausnutzung bestätigt. Der EPSS-Score von 94,22% (99,9. Perzentile) weist auf eine deutlich erhöhte Ausnutzungswahrscheinlichkeit hin. Diese Schwachstelle wurde nachweislich in Ransomware-Kampagnen eingesetzt.
KEV-Informationen
CVSS-Score
CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:U/C:H/I:H/A:HIm Rechner öffnenBetroffene Produkte
| Hersteller | Produkt | Version |
|---|---|---|
| apache | tomcat | >= 7.0.0, <= 7.0.79 |
| netapp | 7-mode transition tool | - |
| netapp | oncommand balance | - |
| netapp | oncommand shift | - |
| redhat | enterprise linux server update services for sap solutions | 7.4; 7.6; 7.7 |
| redhat | jboss enterprise web server | 2.0.0; 3.0.0 |
| redhat | jboss enterprise web server text-only advisories | - |
| redhat | enterprise linux desktop | 6.0; 7.0 |
| redhat | enterprise linux eus | 7.4; 7.5; 7.6; 7.7 |
| redhat | enterprise linux eus compute node | 7.4; 7.5; 7.6; 7.7 |
| redhat | enterprise linux for ibm z systems | 7.0_s390x |
| redhat | enterprise linux for ibm z systems eus | 7.4_s390x; 7.5_s390x; 7.6_s390x; 7.7_s390x |
| redhat | enterprise linux for power big endian | 7.0_ppc64 |
| redhat | enterprise linux for power big endian eus | 7.4_ppc64; 7.5_ppc64; 7.6_ppc64; 7.7_ppc64 |
| redhat | enterprise linux for power little endian | 7.0_ppc64le |
| redhat | enterprise linux for power little endian eus | 7.4_ppc64le; 7.5_ppc64le; 7.6_ppc64le; 7.7_ppc64le |
| redhat | enterprise linux for scientific computing | 7.0 |
| redhat | enterprise linux server | 6.0; 7.0 |
| redhat | enterprise linux server aus | 7.4; 7.6; 7.7 |
| redhat | enterprise linux server for power little endian update services for sap solutions | 7.4_ppc64le; 7.6_ppc64le; 7.7_ppc64le; 9.2_ppc64le |
Mehrere CVSS-Bewertungen
CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:U/C:H/I:H/A:H
CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:U/C:H/I:H/A:H
Referenzen
- http://breaktoprotect.blogspot.com/2017/09/the-case-of-cve-2017-12615-tomcat-7-put.html(Exploit)
- http://www.securityfocus.com/bid/100901(Broken Link, Third Party Advisory, VDB Entry)
- http://www.securitytracker.com/id/1039392(Broken Link, Third Party Advisory, VDB Entry)
- https://access.redhat.com/errata/RHSA-2017:3080(Third Party Advisory)
- https://access.redhat.com/errata/RHSA-2017:3081(Third Party Advisory)
- https://access.redhat.com/errata/RHSA-2017:3113(Third Party Advisory)
- https://access.redhat.com/errata/RHSA-2017:3114(Third Party Advisory)
- https://access.redhat.com/errata/RHSA-2018:0465(Third Party Advisory)
- https://access.redhat.com/errata/RHSA-2018:0466(Third Party Advisory)
- https://github.com/breaktoprotect/CVE-2017-12615(Exploit, Third Party Advisory)
- https://lists.apache.org/thread.html/388a323769f1dff84c9ec905455aa73fbcb20338e3c7eb131457f708%40%3Cdev.tomcat.apache.org%3E(Mailing List, Patch)
- https://lists.apache.org/thread.html/3d19773b4cf0377db62d1e9328bf9160bf1819f04f988315086931d7%40%3Cdev.tomcat.apache.org%3E(Mailing List, Patch)
- https://lists.apache.org/thread.html/845312a10aabbe2c499fca94003881d2c79fc993d85f34c1f5c77424%40%3Cdev.tomcat.apache.org%3E(Mailing List, Patch)
- https://lists.apache.org/thread.html/8fcb1e2d5895413abcf266f011b9918ae03e0b7daceb118ffbf23f8c%40%3Cannounce.tomcat.apache.org%3E(Issue Tracking, Mailing List)
- https://lists.apache.org/thread.html/r6d03e45b81eab03580cf7f8bb51cb3e9a1b10a2cc0c6a2d3cc92ed0c%40%3Cannounce.apache.org%3E(Mailing List)
- https://lists.apache.org/thread.html/r9136ff5b13e4f1941360b5a309efee2c114a14855578c3a2cbe5d19c%40%3Cdev.tomcat.apache.org%3E(Mailing List, Patch)
- https://security.netapp.com/advisory/ntap-20171018-0001/(Third Party Advisory)
- https://www.exploit-db.com/exploits/42953/(Third Party Advisory, VDB Entry)
- https://www.synology.com/support/security/Synology_SA_17_54_Tomcat(Third Party Advisory)
- https://www.cisa.gov/known-exploited-vulnerabilities-catalog?field_cve=CVE-2017-12615(US Government Resource)
Schwachstellentyp
CWE-434: Uneingeschränkter Upload von Dateien mit gefährlichem Typ
Uneingeschränkter Upload von Dateien mit gefährlichem Typ tritt auf, wenn Software Benutzern erlaubt, Dateien hochzuladen, ohne die Dateitypen ordnungsgemäß zu validieren, einzuschränken oder zu behandeln. Angreifer können Dateien mit gefährlichem Inhalt wie Web-Shells, Skripte oder ausführbare Dateien hochladen, die auf dem Server ausgeführt werden können. Im Fall von CVE-2017-12615 ermöglicht diese Schwachstelle Angreifern die Kompromittierung von Apache Tomcat-Systemen.
Weitere Informationen: CWE-434 — Uneingeschränkter Upload von Dateien mit gefährlichem Typ
Auswirkungsanalyse
CVE-2017-12615 hat einen CVSS-3.1-Basiswert von 8.1 (HIGH) und stellt ein ernsthaftes Risiko für betroffene Umgebungen dar. Eine erfolgreiche Ausnutzung kann zu vollständige Kompromittierung der Datenvertraulichkeit, vollständige Kompromittierung der Systemintegrität und vollständiger Denial-of-Service führen. Der Angriffsvektor ist netzwerkbasiert mit hoher Komplexität, was bedeutet, dass spezifische Bedingungen für eine erfolgreiche Ausnutzung erfüllt sein müssen. Organisationen, die Apache Tomcat einsetzen, sind einem konkreten Risiko von unbefugtem Zugriff, Datenverlust und Betriebsunterbrechung ausgesetzt, wenn diese Schwachstelle nicht behoben wird.
Exploit-Reifegrad
CVE-2017-12615 ist im CISA Known Exploited Vulnerabilities-Katalog mit einer Behebungsfrist bis 2022-04-15 gelistet, was bestätigt, dass reale Ausnutzung beobachtet wurde. Der EPSS-Score von 94,22% (99,9. Perzentile) zählt diese Schwachstelle zu denjenigen mit der höchsten Ausnutzungswahrscheinlichkeit. Öffentlicher Exploit-Code ist in Schwachstellendatenbanken verfügbar, was die Einstiegshürde für Angreifer senkt und die Dringlichkeit der Behebung erhöht. Diese Schwachstelle wurde mit Ransomware-Kampagnen in Verbindung gebracht, was ihren Einsatz durch finanziell motivierte Bedrohungsakteure unterstreicht.
Behebung
- Pflichtmaßnahme laut CISA KEV: Wenden Sie Updates gemäß den Herstelleranweisungen an. Dies ist die von CISA vorgeschriebene Behebungsmaßnahme und sollte sofort priorisiert werden.
- Falls Patches nicht sofort angewendet werden können, beschränken Sie den Netzwerkzugriff auf die Verwaltungsoberflächen der betroffenen Tomcat-Systeme mittels Firewall-Regeln oder Zugriffskontrolllisten auf vertrauenswürdige administrative Netzwerke.
- Überwachen Sie Sicherheitshinweise des Herstellers auf weitere Updates und stellen Sie sicher, dass ein Patch-Management-Prozess für die zeitnahe Bereitstellung vorhanden ist.
- Führen Sie eine gründliche Überprüfung der betroffenen Systeme auf Anzeichen einer vorherigen Kompromittierung durch, einschließlich unerwarteter Benutzerkonten, geänderter Konfigurationen und ungewöhnlicher Netzwerkaktivität.
- Implementieren Sie Defense-in-Depth-Maßnahmen einschließlich Netzwerksegmentierung, Intrusion-Detection-Systeme und kontinuierlicher Sicherheitsüberwachung für die betroffene Infrastruktur.
Technische Details
CVE-2017-12615 ist über das Netzwerk ohne jegliche vorherige Authentifizierung ausnutzbar. Bei der Ausführung von Apache Tomcat unter Windows mit aktivierten HTTP-PUTs ist es möglich, über eine speziell gestaltete Anfrage eine JSP-Datei auf den Server hochzuladen und auszuführen. Die Angriffskomplexität ist als hoch eingestuft, was bedeutet, dass spezifische Bedingungen für eine erfolgreiche Ausnutzung erfüllt sein müssen. Der Geltungsbereich ist unverändert, was bedeutet, dass die Auswirkung auf die verwundbare Komponente beschränkt ist. Der CVSS-3.1-Basiswert von 8.1 spiegelt die Kombination dieser Faktoren und das Potenzial für erhebliche Schäden an betroffenen Systemen wider.
Häufig gestellte Fragen
Wird CVE-2017-12615 aktiv ausgenutzt?
Ja. CISA hat die aktive Ausnutzung bestätigt, indem CVE-2017-12615 in den Known Exploited Vulnerabilities-Katalog aufgenommen wurde. Der EPSS-Score von 94,22% (99,9. Perzentile) weist zusätzlich auf eine hohe Ausnutzungswahrscheinlichkeit hin. Diese Schwachstelle wurde zudem mit Ransomware-Kampagnen in Verbindung gebracht.
Welche Produkte sind von CVE-2017-12615 betroffen?
CVE-2017-12615 betrifft Apache Tomcat. Konkret betroffen sind unter anderem apache tomcat, netapp 7-mode transition tool, netapp oncommand balance, netapp oncommand shift, redhat enterprise linux server update services for sap solutions und weitere.
Wie behebe ich CVE-2017-12615?
Wenden Sie Updates gemäß den Herstelleranweisungen an. Stellen Sie sicher, dass Ihre Systeme auf die neueste gepatchte Version aktualisiert sind. Falls eine sofortige Aktualisierung nicht möglich ist, beschränken Sie den Netzwerkzugriff auf die Verwaltungsoberflächen des betroffenen Systems.
Wie schwerwiegend ist CVE-2017-12615?
CVE-2017-12615 hat einen CVSS-3.1-Score von 8.1 (HIGH). Dies ist eine schwerwiegende Schwachstelle, die ein erhebliches Risiko darstellt und eine zeitnahe Behebung erfordert. Die Schwachstelle ermöglicht nicht authentifizierten entfernten Angreifern die potenzielle Kompromittierung betroffener Tomcat-Systeme.
Hilfe beim Schwachstellenmanagement?
Unsere Sicherheitsexperten helfen Ihnen bei der Priorisierung und Behebung von Schwachstellen.