CVE-2017-9822
DotNetNuke (DNN) Remote Code Execution Vulnerability
Beschreibung
CVE-2017-9822 ist eine Schwachstelle mit dem Schweregrad HIGH für Remote Code Execution in DotNetNuke (DNN) Versionen vor 9.1.1, klassifiziert unter CWE-94 (Improper Control of Generation of Code). Der Fehler ermöglicht authentifizierten Angreifern die Ausführung beliebigen Codes auf dem Server durch Cookie-Deserialisierung. Mit einem CVSS 3.1-Score von 8.8 kann ein niedrig privilegierter Benutzer diese Schwachstelle ausnutzen, um die vollständige Kontrolle über die DNN-Webanwendung und den zugrunde liegenden Server zu erlangen. CISA hat CVE-2017-9822 am 3. November 2021 in den KEV-Katalog aufgenommen, und es bestehen bestätigte Verbindungen zu Ransomware-Kampagnen. Der EPSS-Score von 0.94293 (99,94. Perzentil) weist auf eine außergewöhnlich hohe Ausnutzungswahrscheinlichkeit hin.
KEV-Informationen
CVSS-Score
CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:HIm Rechner öffnenBetroffene Produkte
| Hersteller | Produkt | Version |
|---|---|---|
| dnnsoftware | dotnetnuke | < 9.1.1 |
Mehrere CVSS-Bewertungen
CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H
CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H
Referenzen
- http://packetstormsecurity.com/files/157080/DotNetNuke-Cookie-Deserialization-Remote-Code-Execution.html(Exploit, Third Party Advisory, VDB Entry)
- http://www.dnnsoftware.com/community/security/security-center(Product, Vendor Advisory)
- http://www.securityfocus.com/bid/102213(Broken Link, Third Party Advisory, VDB Entry)
- https://www.cisa.gov/known-exploited-vulnerabilities-catalog?field_cve=CVE-2017-9822(US Government Resource)
Schwachstellentyp
CWE-94: Improper Control of Generation of Code ('Code Injection')
Improper Control of Generation of Code, allgemein bekannt als Code-Injection, tritt auf, wenn Software Code-Segmente unter Verwendung extern beeinflusster Eingaben konstruiert, ohne diese Eingaben ordnungsgemäß zu neutralisieren oder zu validieren. Dies ermöglicht einem Angreifer, die beabsichtigte Codeausführung zu verändern, indem bösartiger Code eingeschleust wird, den die Anwendung dann mit ihren eigenen Privilegien ausführt.
Im Kontext von CVE-2017-9822 deserialisiert DotNetNuke vor Version 9.1.1 .NET-Objekte aus Cookie-Werten ohne ausreichende Validierung. Ein authentifizierter Angreifer kann ein bösartiges serialisiertes .NET-Objekt mit Code-Injection-Payloads erstellen und als Cookie übermitteln. Bei der Verarbeitung des Cookies deserialisiert DNN das Objekt und löst die Ausführung des vom Angreifer kontrollierten Codes im DNN-Anwendungskontext aus. Da die DNN-Anwendung typischerweise mit erhöhten Webserver-Privilegien läuft, kann der eingeschleuste Code auf das Dateisystem zugreifen und Systembefehle ausführen.
Mehr erfahren: CWE-94 — Improper Control of Generation of Code
Auswirkungsanalyse
CVE-2017-9822 hat einen CVSS 3.1-Basisscore von 8.8 (HIGH) mit netzwerkbasierten Angriffscharakteristiken, die niedrige Privilegien erfordern.
Vertraulichkeit (Hoch): Erfolgreiche Ausnutzung ermöglicht dem Angreifer die Ausführung beliebigen Codes auf dem DNN-Server. Dies bietet Zugriff auf die gesamte Webanwendungsdatenbank einschließlich Benutzeranmeldedaten, personenbezogener Daten, Inhalte und Konfigurationsdateien. Der Angreifer kann auch auf das Dateisystem des Servers zugreifen und Datenbankverbindungsstrings, API-Schlüssel und andere sensible Konfigurationsdaten offenlegen.
Integrität (Hoch): Mit Codeausführung auf dem Server kann der Angreifer jeden Aspekt der DNN-Installation modifizieren, einschließlich Website-Inhalte, Benutzerkonten und administrative Konfigurationen. Der Angreifer kann Backdoors, Web-Shells und persistente Malware installieren. Aufgrund der Ransomware-Verbindung haben Angreifer diesen Zugriff genutzt, um Ransomware-Payloads bereitzustellen.
Verfügbarkeit (Hoch): Der Angreifer kann die gesamte DNN-Webanwendung und potenziell den zugrunde liegenden Server stören. Ransomware-Einsätze über diese Schwachstelle haben vollständige Dienstausfälle durch Verschlüsselung von Anwendungsdateien und Datenbanken verursacht.
Scope (Unchanged): Der Scope bleibt auf den DNN-Anwendungs- und Host-Server-Kontext beschränkt. Der EPSS-Score von 0.94293 (99,94. Perzentil) platziert diese Schwachstelle in den Top 0,06% aller CVEs.
Exploit-Reifegrad
Aktive Ausnutzung: CVE-2017-9822 wird aktiv in freier Wildbahn ausgenutzt. CISA hat diese Schwachstelle am 3. November 2021 in den KEV-Katalog aufgenommen, mit einer verpflichtenden Behebungsfrist bis zum 3. Mai 2022.
Ransomware-Verbindung: Der CISA KEV-Katalog bestätigt explizit, dass CVE-2017-9822 mit bekannten Ransomware-Kampagnen verbunden ist. Ransomware-Betreiber nutzen diese Schwachstelle, um initialen Code auf DNN-Servern auszuführen und anschließend Ransomware-Payloads bereitzustellen.
Öffentliche Exploits: Ein vollständiger Exploit für DotNetNuke Cookie-Deserialisierung mit Remote Code Execution ist öffentlich auf Packet Storm Security verfügbar.
EPSS-Kontext: Der EPSS-Score von 0.94293 (99,94. Perzentil) platziert diese Schwachstelle in den Top 0,06% aller CVEs. Dieser außergewöhnlich hohe Score spiegelt die Kombination aus öffentlicher Exploit-Verfügbarkeit, bestätigter Ransomware-Nutzung und der großen Anzahl internetexponierter DNN-Installationen wider.
KEV-Frist: Bundesbehörden mussten bis zum 3. Mai 2022 Abhilfemaßnahmen ergreifen. Aufgrund der Ransomware-Verbindung sollten alle Organisationen mit DNN-Installationen dies als kritische Priorität behandeln.
Behebung
-
DotNetNuke sofort auf Version 9.1.1 oder höher aktualisieren. Der Patch korrigiert die unsichere Cookie-Deserialisierung. Von den DNN Platform GitHub Releases herunterladen. Aufgrund der Ransomware-Verbindung als Notfall-Patch behandeln.
-
Zusätzlich für CVE-2018-15811 und CVE-2018-18325 patchen. Spätere DNN-Versionen führten eine verwandte Schwachverschlüsselungslücke ein. Mindestens auf DNN 9.3.0 aktualisieren, um alle drei verwandten Schwachstellen umfassend zu beheben.
-
Sofort auf Kompromittierungsindikatoren prüfen. Nach Web-Shells im DNN-Installationsverzeichnis suchen, besonders in beschreibbaren Ordnern wie Portals und App_Data. Nach verdächtigen Prozessen suchen, die vom IIS-Worker-Prozess (w3wp.exe) gestartet wurden.
-
Alle bestehenden Sitzungen und Authentifizierungstoken invalidieren. Alle Benutzer zur Neuauthentifizierung nach dem Patchen zwingen. Machine Key neu generieren, um sicherzustellen, dass zuvor erstellte bösartige Cookies nicht mehr gültig sind.
-
Schutz auf Netzwerkebene implementieren. Eine Web Application Firewall mit Regeln zur Erkennung von .NET-Deserialisierungs-Payloads in HTTP-Cookies einsetzen. Zugriff auf die DNN-Installation aus dem Internet wenn möglich einschränken.
-
Incident-Response-Plan für Ransomware vorbereiten. Aufgrund der bestätigten Ransomware-Verbindung sicherstellen, dass Offline-Backups der DNN-Datenbank und des Dateisystems existieren und Wiederherstellungsverfahren getestet sind.
Technische Details
CVE-2017-9822 ist eine Remote-Code-Execution-Schwachstelle in DotNetNuke (DNN) Versionen vor 9.1.1, die unsichere Deserialisierung von .NET-Objekten aus Cookie-Werten ausnutzt. DNN speichert serialisierte .NET-Objekte in Cookies zur Zustandsverwaltung zwischen Anfragen und deserialisiert diese Objekte serverseitig ohne ausreichende Sicherheitskontrollen.
Der CVSS-Vektor (AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H) zeigt, dass der Angriff netzwerkbasiert mit niedriger Komplexität ist und nur niedrige Authentifizierung erfordert. Dies bedeutet, dass jeder registrierte Benutzer einer DNN-Site die Schwachstelle potenziell ausnutzen kann, was den Pool potenzieller Angreifer erheblich erweitert.
Der Angriff funktioniert durch Erstellen eines bösartigen serialisierten .NET-Objekts mit Tools wie ysoserial.net. Der Angreifer erstellt einen Payload, der bei der Deserialisierung beliebige Betriebssystembefehle oder .NET-Code ausführt. Dieser serialisierte Payload wird dann in einem DNN-Cookie platziert und an den Server gesendet. Bei der Deserialisierung des Cookies wird der bösartige Code mit den Privilegien des IIS-Anwendungspools ausgeführt.
Die Schwachstelle ist besonders gefährlich, weil DNN ein weit verbreitetes Web-Content-Management-System ist und viele Installationen direkt aus dem Internet erreichbar sind. Die niedrige Privilegienanforderung bedeutet, dass ein einfaches registriertes Benutzerkonto ausreicht. In Szenarien mit aktivierter Selbstregistrierung kann ein Angreifer sein eigenes Konto erstellen und die Schwachstelle sofort ausnutzen.
Die bestätigte Ransomware-Verbindung zeigt, dass Bedrohungsakteure automatisierte Ausnutzungs-Workflows entwickelt haben, die initialen Zugriff, Privilegieneskalation und Ransomware-Bereitstellung über diese einzelne Schwachstelle verketten.
Häufig gestellte Fragen
Wird CVE-2017-9822 aktiv ausgenutzt?
Ja, CVE-2017-9822 wird aktiv ausgenutzt und hat bestätigte Verbindungen zu Ransomware-Kampagnen. CISA hat die Schwachstelle am 3. November 2021 in den KEV-Katalog aufgenommen. Der EPSS-Score von 0.94293 (99,94. Perzentil) platziert sie in den Top 0,06% aller CVEs und macht sie zu einer der am aktivsten angegriffenen Schwachstellen.
Welche Produkte sind von CVE-2017-9822 betroffen?
DotNetNuke (DNN) Versionen vor 9.1.1 sind betroffen. DNN ist ein Open-Source-Web-Content-Management-System auf Basis des Microsoft .NET Frameworks. Jede DNN-Website mit einer Version älter als 9.1.1 ist für Remote Code Execution durch Cookie-Deserialisierung verwundbar. Organisationen sollten auch sicherstellen, dass die verwandten CVE-2018-15811 und CVE-2018-18325 gepatcht sind.
Wie behebe ich CVE-2017-9822?
Aktualisieren Sie DotNetNuke auf Version 9.3.0 oder höher, um CVE-2017-9822 zusammen mit den verwandten CVE-2018-15811 und CVE-2018-18325 zu beheben. Generieren Sie nach dem Upgrade den Machine Key neu, invalidieren Sie alle Sitzungen, prüfen Sie auf Web-Shells und Kompromittierungsindikatoren. Stellen Sie aufgrund der Ransomware-Verbindung sicher, dass aktuelle Offline-Backups existieren.
Wie schwerwiegend ist CVE-2017-9822?
CVE-2017-9822 wird mit HIGH und einem CVSS-Score von 8.8 bewertet und hat bestätigte Ransomware-Verbindungen. Die Schwachstelle ermöglicht authentifizierten Angreifern die Ausführung beliebigen Codes durch Cookie-Deserialisierung, was zur vollständigen Serverkompromittierung führt. Der EPSS-Score von 0.94293 (99,94. Perzentil) spiegelt die extrem hohe Ausnutzungsaktivität wider.
Hilfe beim Schwachstellenmanagement?
Unsere Sicherheitsexperten helfen Ihnen bei der Priorisierung und Behebung von Schwachstellen.