CVE-2018-14667
Red Hat JBoss RichFaces Framework Expression Language Injection Vulnerability
Beschreibung
CVE-2018-14667 ist eine kritische Code-Injection-Schwachstelle (CWE-94) im Red Hat JBoss RichFaces Framework in den Versionen 3.X bis einschließlich 3.3.4. Ein entfernter, nicht authentifizierter Angreifer kann über die UserResource-Ressource eine Expression-Language-(EL)-Injection durchführen und durch eine Kette von serialisierten Java-Objekten über org.ajax4jsf.resource.UserResource$UriData beliebigen Code auf dem Server ausführen. Die CISA hat CVE-2018-14667 in ihren KEV-Katalog aufgenommen, und der extrem hohe EPSS-Score von 89,37 % (99. Perzentil) unterstreicht die nahezu sichere Ausnutzung dieser Schwachstelle. Mit einem CVSS-Score von 9.8 (CRITICAL) stellt diese Sicherheitslücke ein maximales Risiko für alle Systeme dar, die noch RichFaces 3.X einsetzen.
KEV-Informationen
CVSS-Score
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:HIm Rechner öffnenBetroffene Produkte
| Hersteller | Produkt | Version |
|---|---|---|
| redhat | richfaces | >= 3.1.0, <= 3.3.4 |
| redhat | enterprise linux | 5.0; 6.0 |
Mehrere CVSS-Bewertungen
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
CVSS:3.0/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
Referenzen
- http://packetstormsecurity.com/files/156663/Richsploit-RichFaces-Exploitation-Toolkit.html(Third Party Advisory, VDB Entry)
- http://seclists.org/fulldisclosure/2020/Mar/21(Mailing List, Third Party Advisory)
- http://www.securitytracker.com/id/1042037(Third Party Advisory, VDB Entry)
- https://access.redhat.com/errata/RHSA-2018:3517(Vendor Advisory)
- https://access.redhat.com/errata/RHSA-2018:3518(Vendor Advisory)
- https://access.redhat.com/errata/RHSA-2018:3519(Vendor Advisory)
- https://access.redhat.com/errata/RHSA-2018:3581(Vendor Advisory)
- https://bugzilla.redhat.com/show_bug.cgi?id=CVE-2018-14667(Issue Tracking, Vendor Advisory)
- https://www.cisa.gov/known-exploited-vulnerabilities-catalog?field_cve=CVE-2018-14667(US Government Resource)
Schwachstellentyp
CWE-94: Improper Control of Generation of Code (Code Injection)
Bei CVE-2018-14667 liegt eine Code-Injection-Schwachstelle im RichFaces Framework vor, bei der Benutzereingaben nicht ausreichend validiert werden und direkt als Expression-Language-(EL)-Ausdrücke interpretiert werden. Im Kontext des RichFaces UserResource-Endpunkts kann ein Angreifer manipulierte EL-Ausdrücke einschleusen, die auf dem Server ausgeführt werden und so die vollständige Kontrolle über das betroffene System ermöglichen.
Mehr erfahren: CWE-94 — Improper Control of Generation of Code
Auswirkungsanalyse
CVE-2018-14667 ist über das Netzwerk ausnutzbar (AV:N) und erfordert weder physischen noch lokalen Zugang zum Zielsystem. Die Angriffskomplexität ist niedrig (AC:L), es sind keine Berechtigungen (PR:N) und keine Benutzerinteraktion (UI:N) erforderlich – ein Angreifer kann die Schwachstelle vollautomatisch und ohne jede Authentifizierung ausnutzen. Bei erfolgreicher Ausnutzung sind Vertraulichkeit, Integrität und Verfügbarkeit jeweils maximal betroffen (C:H/I:H/A:H): Der Angreifer kann beliebigen Code auf dem Server ausführen, sämtliche Daten auslesen und manipulieren sowie den gesamten Dienst lahmlegen. Mit einem CVSS-Score von 9.8 (CRITICAL) erreicht diese Schwachstelle die höchste Risikostufe, und der EPSS-Score von 89,37 % (99. Perzentil) zeigt, dass eine Ausnutzung nahezu sicher ist. Organisationen, die RichFaces 3.X einsetzen, müssen unverzüglich handeln.
Exploit-Reifegrad
Die CISA hat CVE-2018-14667 in ihren Katalog der bekannten ausgenutzten Schwachstellen (KEV) aufgenommen, was bestätigt, dass die Sicherheitslücke im RichFaces Framework aktiv in freier Wildbahn ausgenutzt wird. Öffentliche Exploit-Tools sind verfügbar für CVE-2018-14667, darunter das Richsploit Exploitation Toolkit via Packet Storm Security sowie weitere Informationen über SecurityTracker. Der EPSS-Score von 89,37 % (99. Perzentil) weist auf eine nahezu sichere Ausnutzungswahrscheinlichkeit hin, was angesichts der verfügbaren Exploit-Toolkits und der Einfachheit des Angriffs nicht überraschend ist. Ob die Schwachstelle im Zusammenhang mit Ransomware-Kampagnen eingesetzt wird, ist derzeit nicht bekannt.
Behebung
-
Sicherheitsupdates von Red Hat installieren: Gemäß der KEV-Empfehlung der CISA sollten die von Red Hat bereitgestellten Patches umgehend angewendet werden. Die relevanten Sicherheitshinweise sind RHSA-2018:3517, RHSA-2018:3518, RHSA-2018:3519 und RHSA-2018:3581. Die Behebungsfrist der CISA war der 19. Oktober 2023.
-
Migration von RichFaces 3.X: Da RichFaces 3.X seit langem End-of-Life ist, sollte eine Migration auf ein modernes JSF-Framework (z. B. PrimeFaces oder OmniFaces) durchgeführt werden. Wenn eine sofortige Migration nicht möglich ist, muss der Zugriff auf den verwundbaren UserResource-Endpunkt (org.ajax4jsf.resource.UserResource) vollständig blockiert werden.
-
WAF-Regeln und Netzwerkschutz: Implementieren Sie Web Application Firewall-Regeln, die bekannte EL-Injection-Muster in HTTP-Anfragen an den UserResource-Endpunkt erkennen und blockieren. Beschränken Sie den Netzwerkzugriff auf JBoss-Anwendungsserver auf das absolute Minimum.
-
Überwachung und Incident Response: Überprüfen Sie Server-Protokolle auf Anzeichen einer vergangenen oder laufenden Ausnutzung, insbesondere auf verdächtige Anfragen an UserResource-URLs und ungewöhnliche Prozesse, die vom JBoss-Anwendungsserver gestartet werden. Angesichts der hohen Ausnutzungswahrscheinlichkeit sollte eine forensische Untersuchung in Betracht gezogen werden.
-
Langfristige Absicherung: Implementieren Sie ein Deserialisierungsschutz-Framework (z. B. Apache Commons IO SerializationGuard) und aktivieren Sie Java Security Manager-Richtlinien, um die Ausführung nicht autorisierter Code-Pfade zu unterbinden. Führen Sie regelmäßige Sicherheitsaudits von Legacy-Java-Anwendungen durch.
Technische Details
CVE-2018-14667 ist eine Expression-Language-(EL)-Injection-Schwachstelle (CWE-94) im RichFaces Framework 3.X, die über den UserResource-Endpunkt ausgenutzt werden kann. Der Angriff nutzt die Klasse org.ajax4jsf.resource.UserResource$UriData, über die ein Angreifer manipulierte serialisierte Java-Objekte einschleusen kann, die EL-Ausdrücke enthalten und auf dem Server ausgewertet werden. Der CVSS-Vektor (AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H) zeigt, dass der Angriff vollständig remote ohne jede Authentifizierung oder Benutzerinteraktion durchführbar ist – ein Angreifer muss lediglich eine speziell konstruierte HTTP-Anfrage an den UserResource-Endpunkt senden. Da die EL-Ausdrücke im Kontext des Anwendungsservers ausgeführt werden, kann der Angreifer beliebige Systembefehle ausführen, auf das Dateisystem zugreifen und die vollständige Kontrolle über den Server übernehmen. Das verfügbare Richsploit-Toolkit automatisiert diesen Angriff und macht die Ausnutzung auch für wenig erfahrene Angreifer trivial.
Häufig gestellte Fragen
Wird CVE-2018-14667 aktiv ausgenutzt?
Ja, die CISA hat CVE-2018-14667 in ihren Katalog der bekannten ausgenutzten Schwachstellen (KEV) aufgenommen, was aktive Ausnutzung in freier Wildbahn bestätigt. Der EPSS-Score von 89,37 % (99. Perzentil) weist auf eine nahezu sichere Ausnutzung hin. Öffentliche Exploit-Tools wie das Richsploit Exploitation Toolkit sind frei verfügbar.
Welche Produkte sind von CVE-2018-14667 betroffen?
Betroffen ist das Red Hat JBoss RichFaces Framework in den Versionen 3.X bis einschließlich 3.3.4 sowie Red Hat Enterprise Linux-Systeme, die dieses Framework einsetzen. RichFaces ist ein JSF-Komponentenframework, das häufig in Java-Enterprise-Anwendungen auf JBoss-Anwendungsservern eingesetzt wird.
Wie behebe ich CVE-2018-14667?
Installieren Sie umgehend die von Red Hat bereitgestellten Sicherheitsupdates (RHSA-2018:3517 bis RHSA-2018:3581). Da RichFaces 3.X End-of-Life ist, wird dringend eine Migration auf ein modernes JSF-Framework empfohlen. Als Sofortmaßnahme sollte der Zugriff auf den verwundbaren UserResource-Endpunkt blockiert werden.
Wie schwerwiegend ist CVE-2018-14667?
CVE-2018-14667 wird mit einem CVSS-Score von 9.8 als CRITICAL eingestuft – die höchste Risikostufe. Die Schwachstelle ist remote ohne Authentifizierung ausnutzbar und ermöglicht die vollständige Übernahme des betroffenen Servers. Der EPSS-Score von 89,37 % (99. Perzentil) zeigt, dass eine Ausnutzung nahezu sicher ist.
Hilfe beim Schwachstellenmanagement?
Unsere Sicherheitsexperten helfen Ihnen bei der Priorisierung und Behebung von Schwachstellen.