CVE-2017-7269
Microsoft Windows Server Buffer Overflow Vulnerability
Beschreibung
CVE-2017-7269 ist eine kritische Buffer-Overflow-Schwachstelle in Microsoft Internet Information Services (IIS) 6.0 auf Windows Server 2003 R2 mit einem CVSS-3.1-Score von 9.8. Die Schwachstelle existiert in der ScStoragePathFromUrl-Funktion im WebDAV-Dienst und ermöglicht es entfernten Angreifern, über eine manipulierte PROPFIND-Anfrage mit einem überlangen "If"-Header beliebigen Code auszuführen. Diese Schwachstelle wurde bereits ab Juli 2016 in der Praxis ausgenutzt, Monate vor der öffentlichen Offenlegung im März 2017. Diese CVE ist im CISA KEV-Katalog gelistet mit einer Behebungsfrist bis zum 2021-11-17. Der EPSS-Score von 0.94411 (99,98. Perzentile) macht sie zu einer der am häufigsten ausgenutzten Schwachstellen überhaupt.
KEV-Informationen
CVSS-Score
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:HIm Rechner öffnenBetroffene Produkte
| Hersteller | Produkt | Version |
|---|---|---|
| microsoft | internet information services | 6.0 |
Mehrere CVSS-Bewertungen
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
Referenzen
- http://www.securityfocus.com/bid/97127(Broken Link, Third Party Advisory, VDB Entry)
- http://www.securitytracker.com/id/1038168(Broken Link, Third Party Advisory, VDB Entry)
- https://0patch.blogspot.com/2017/03/0patching-immortal-cve-2017-7269.html(Exploit, Third Party Advisory)
- https://github.com/danigargu/explodingcan(Exploit)
- https://github.com/edwardz246003/IIS_exploit(Broken Link, Third Party Advisory)
- https://github.com/rapid7/metasploit-framework/pull/8162(Issue Tracking, Patch)
- https://medium.com/%40iraklis/number-of-internet-facing-vulnerable-iis-6-0-to-cve-2017-7269-8bd153ef5812(Exploit)
- https://support.microsoft.com/en-us/help/3197835/description-of-the-security-update-for-windows-xp-and-windows-server(Broken Link, Patch, Vendor Advisory)
- https://www.exploit-db.com/exploits/41738/(Exploit, Third Party Advisory, VDB Entry)
- https://www.exploit-db.com/exploits/41992/(Exploit, Third Party Advisory, VDB Entry)
- https://www.cisa.gov/known-exploited-vulnerabilities-catalog?field_cve=CVE-2017-7269(US Government Resource)
Schwachstellentyp
CWE-120: Pufferkopie ohne Überprüfung der Eingabegröße ('Klassischer Buffer Overflow')
CVE-2017-7269 wird unter CWE-120 klassifiziert — Pufferkopie ohne Überprüfung der Eingabegröße ('Klassischer Buffer Overflow'). Der klassische Buffer Overflow ist eine Schwachstelle, die auftritt, wenn ein Programm Daten in einen Puffer kopiert, ohne vorher zu prüfen, ob die Daten in die zugewiesene Größe des Puffers passen. Dies geschieht typischerweise, wenn Funktionen wie strcpy(), gets(), sprintf() oder memcpy() ohne ordnungsgemäße Grenzenprüfung verwendet werden.
Im Kontext des WebDAV-Dienstes von IIS 6.0 ist diese Schwachstellenklasse besonders gefährlich, da die ScStoragePathFromUrl-Funktion URL-Pfade aus eingehenden HTTP-Anfragen ohne ausreichende Längenvalidierung verarbeitet. Der Buffer Overflow tritt bei der Verarbeitung eines überlangen "If"-Headers in einer PROPFIND-Anfrage auf und ermöglicht es Angreifern, den Stack zu überschreiben und die Ausführung auf angreifergesteuerten Shellcode umzuleiten. Da IIS mit erhöhten Rechten läuft, führt erfolgreiche Ausnutzung zur vollständigen Systemkompromittierung.
Mehr erfahren: CWE-120 — Pufferkopie ohne Überprüfung der Eingabegröße
Auswirkungsanalyse
Vertraulichkeit (HIGH): Erfolgreiche Ausnutzung gewährt dem Angreifer vollständigen Zugriff auf alle Daten des betroffenen Windows Server 2003 R2-Systems, einschließlich Dateien, Datenbanken, Zugangsdaten und aller von IIS-gehosteten Anwendungen verarbeiteten Informationen.
Integrität (HIGH): Angreifer können beliebigen Code mit den Rechten des IIS-Dienstes ausführen, was die Modifikation von Webinhalten, Systemdateien, Registry-Einträgen, die Installation von Backdoors und den Einsatz von Malware ermöglicht.
Verfügbarkeit (HIGH): Vollständiger Denial-of-Service ist möglich, einschließlich Absturz des IIS-Dienstes, Unverfügbarkeit gehosteter Websites und Anwendungen oder vollständige Deaktivierung des Servers durch destruktive Payloads.
Scope: Der Scope ist Unchanged (U), die Auswirkungen sind auf die IIS/Windows-Server-Umgebung beschränkt. Da IIS 6.0 jedoch typischerweise mit SYSTEM-Rechten läuft, gewährt die Ausnutzung effektiv vollständige Kontrolle über den Server.
Mit einem EPSS-Score von 0.94411 (99,98. Perzentile) gehört diese Schwachstelle zu den am häufigsten ausgenutzten überhaupt, was ihre triviale Ausnutzbarkeit und die große Anzahl noch erreichbarer Legacy-IIS-6.0-Server widerspiegelt.
Exploit-Reifegrad
Exploit-Status: CVE-2017-7269 wurde seit mindestens Juli 2016 in der Praxis ausgenutzt, Monate vor der öffentlichen Offenlegung im März 2017. Der EPSS-Score von 0.94411 (99,98. Perzentile) macht sie zu einer der am weitesten verbreiteten ausgenutzten Schwachstellen. Mehrere öffentliche Exploits sind verfügbar, einschließlich Metasploit-Module und eigenständiger Proof-of-Concept-Code.
Ransomware-Bezug: Nach aktuellem KEV-Stand wurde kein direkter Ransomware-Zusammenhang bestätigt. Die Schwachstelle wurde jedoch von verschiedenen Bedrohungsakteuren für Cryptomining, Datendiebstahl und die Einrichtung persistenten Zugangs zu kompromittierten Servern verwendet.
Angriffsfläche: Vollständig waffenfähiger Exploit-Code ist auf Exploit-DB und GitHub öffentlich verfügbar. Metasploit enthält ein zuverlässiges Exploit-Modul. Der Angriff erfordert nur Netzwerkzugang zu IIS mit aktiviertem WebDAV. Windows Server 2003 R2 erreichte sein Support-Ende im Juli 2015.
KEV-Frist: Die CISA-Behebungsfrist war der 2021-11-17. Organisationen mit Windows Server 2003 R2 und IIS 6.0 sind extremem Risiko ausgesetzt und sollten umgehend migrieren.
Behebung
- Sofort von Windows Server 2003 R2 migrieren. Windows Server 2003 erreichte sein Support-Ende im Juli 2015 und erhält keine Sicherheitsupdates mehr. Migrieren Sie alle Workloads auf eine unterstützte Windows-Server-Version oder alternative Plattform.
- WebDAV deaktivieren bei verzögerter Migration. Als Interim-Maßnahme deaktivieren Sie den WebDAV-Dienst auf allen IIS-6.0-Instanzen. Dies eliminiert den Angriffsvektor ohne vollständige Server-Migration.
- Notfall-Patch anwenden falls verfügbar. Microsoft hat ein außerplanmäßiges Sicherheitsupdate (KB3197835) für Windows Server 2003 im Juni 2017 veröffentlicht. Wenden Sie diesen Patch auf alle verbleibenden IIS-6.0-Instanzen an.
- Netzwerk-Beschränkungen implementieren. Platzieren Sie verbleibende IIS-6.0-Server hinter einer Web Application Firewall, die bösartige PROPFIND-Anfragen filtern kann. Beschränken Sie den Netzwerkzugang und blockieren Sie öffentlichen Internet-Zugang.
- Auf Anzeichen vorheriger Kompromittierung prüfen. Angesichts der Ausnutzung seit mindestens Mitte 2016 untersuchen Sie IIS-6.0-Server gründlich auf Webshells, unauthorisierte Konten, Cryptominer oder andere Kompromittierungsindikatoren.
- Legacy-Systeme inventarisieren und außer Betrieb nehmen. Identifizieren Sie alle Windows-Server-2003-Instanzen in Ihrer Umgebung und erstellen Sie einen Migrationsplan mit definierten Zeitrahmen.
Technische Details
Angriffsvektor: NETWORK
Angriffskomplexität: Niedrig
Erforderliche Rechte: Keine
Benutzerinteraktion: Keine
Technischer Ablauf: Die Schwachstelle existiert in der ScStoragePathFromUrl-Funktion innerhalb des WebDAV-Dienstes. Bei der Verarbeitung einer PROPFIND-HTTP-Anfrage parst die Funktion den "If"-Header-Wert und konvertiert Speicherpfade aus URLs. Die Funktion validiert die Länge der Eingabe-URL nicht, bevor sie diese in einen Stack-Puffer fester Größe kopiert. Durch Senden einer PROPFIND-Anfrage mit einem "If"-Header, der mit "If: <http://" beginnt, gefolgt von einem überlangen String, löst ein Angreifer einen Stack-basierten Buffer Overflow aus.
Exploitation-Details: Der Exploit sendet eine speziell präparierte PROPFIND-Anfrage an den WebDAV-Endpunkt. Der Buffer Overflow ermöglicht präzise Kontrolle über den Instruction Pointer (EIP) für klassisches Stack-Smashing. Da Windows Server 2003 moderne Exploit-Mitigierungen wie ASLR und DEP-Enforcement auf dem Stack fehlen, ist die Ausnutzung hochzuverlässig.
Betroffene Produkte: Microsoft IIS 6.0 auf Windows Server 2003 R2
CVSS-3.1-Bewertung: Der Score von 9.8 (KRITISCH) reflektiert netzwerkbasierten Zugang, niedrige Komplexität, keine erforderlichen Rechte oder Benutzerinteraktion, unveränderten Scope und maximale Auswirkungen auf alle drei CIA-Dimensionen.
Häufig gestellte Fragen
Wird CVE-2017-7269 aktiv ausgenutzt?
Ja, CVE-2017-7269 wird seit mindestens Juli 2016 aktiv ausgenutzt. Sie ist im CISA KEV-Katalog gelistet und hat einen EPSS-Score von 0.94411 (99,98. Perzentile), was sie zu einer der am weitesten verbreiteten ausgenutzten Schwachstellen macht. Mehrere öffentliche Exploit-Tools einschließlich Metasploit-Module sind verfügbar.
Welche Produkte sind von CVE-2017-7269 betroffen?
CVE-2017-7269 betrifft spezifisch Microsoft Internet Information Services (IIS) 6.0 auf Windows Server 2003 R2. Die Schwachstelle liegt in der ScStoragePathFromUrl-Funktion des WebDAV-Dienstes. Nur Systeme mit aktiviertem WebDAV sind verwundbar. Spätere IIS- und Windows-Server-Versionen sind nicht betroffen.
Wie behebe ich CVE-2017-7269?
Die primäre Empfehlung ist die vollständige Migration von Windows Server 2003 R2, da das Support-Ende im Juli 2015 erreicht wurde. Als Interim-Maßnahmen deaktivieren Sie WebDAV auf IIS 6.0, wenden Sie den Notfall-Patch KB3197835 an und platzieren Sie betroffene Server hinter einer Web Application Firewall. Blockieren Sie öffentlichen Internet-Zugang zu allen verbleibenden IIS-6.0-Instanzen.
Wie schwerwiegend ist CVE-2017-7269?
CVE-2017-7269 ist mit dem maximalen CVSS-3.1-Score von 9.8 als KRITISCH eingestuft. Sie ermöglicht unauthentifizierte Remote-Code-Execution ohne Benutzerinteraktion. Der EPSS-Score von 0.94411 (99,98. Perzentile) spiegelt die extreme Ausnutzbarkeit wider. Die betroffene Plattform Windows Server 2003 bietet keine modernen Exploit-Mitigierungen, was Angriffe hochzuverlässig macht.
Hilfe beim Schwachstellenmanagement?
Unsere Sicherheitsexperten helfen Ihnen bei der Priorisierung und Behebung von Schwachstellen.