CVE-2018-18325
DotNetNuke (DNN) Inadequate Encryption Strength Vulnerability
Beschreibung
CVE-2018-18325 ist eine Schwachstelle mit dem Schweregrad HIGH in DotNetNuke (DNN) Versionen 9.2 bis 9.2.2, klassifiziert unter CWE-326 (Inadequate Encryption Strength). Diese Schwachstelle besteht aufgrund eines unvollständigen Fixes für CVE-2018-15811, bei dem DNN weiterhin einen schwachen Verschlüsselungsalgorithmus zum Schutz von Eingabeparametern verwendete. Mit einem CVSS 3.1-Score von 7.5 ermöglicht der Fehler entfernten nicht-authentifizierten Angreifern die Entschlüsselung geschützter Parameter und die Verkettung mit Cookie-Deserialisierung zur Erreichung von Remote Code Execution. CISA hat CVE-2018-18325 am 3. November 2021 in den KEV-Katalog aufgenommen. Der EPSS-Score von 0.91084 (99,64. Perzentil) weist auf eine außergewöhnlich hohe Ausnutzungswahrscheinlichkeit hin.
KEV-Informationen
CVSS-Score
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:NIm Rechner öffnenBetroffene Produkte
| Hersteller | Produkt | Version |
|---|---|---|
| dnnsoftware | dotnetnuke | >= 9.2, <= 9.2.2 |
Mehrere CVSS-Bewertungen
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N
Referenzen
- http://packetstormsecurity.com/files/157080/DotNetNuke-Cookie-Deserialization-Remote-Code-Execution.html(Exploit, Third Party Advisory, VDB Entry)
- https://github.com/dnnsoftware/Dnn.Platform/releases(Release Notes)
- https://www.dnnsoftware.com/community/security/security-center(Vendor Advisory)
- https://www.cisa.gov/known-exploited-vulnerabilities-catalog?field_cve=CVE-2018-18325(US Government Resource)
Schwachstellentyp
CWE-326: Inadequate Encryption Strength
Inadequate Encryption Strength tritt auf, wenn Software einen kryptographischen Algorithmus oder eine Schlüssellänge verwendet, die keinen ausreichenden Schutz gegen Entschlüsselung durch einen Angreifer bietet. Die Software implementiert zwar technisch Verschlüsselung, aber der gewählte Algorithmus, Betriebsmodus oder die Schlüsselableitung ist schwach genug, dass Angreifer sie mit öffentlich bekannten Techniken brechen können. Diese Schwächekategorie ist besonders kritisch, wenn sie Authentifizierungsmechanismen, Sitzungstoken oder serialisierte Daten schützt.
Im Kontext von CVE-2018-18325 behob der ursprüngliche Patch für CVE-2018-15811 die schwache Verschlüsselung in DotNetNuke-Versionen 9.2 bis 9.2.2 nicht vollständig. Die verbleibende Schwäche bedeutete, dass Eingabeparameter, einschließlich Cookies mit serialisierten .NET-Objekten, weiterhin durch brechbare Verschlüsselung geschützt waren. Angreifer können die geschützten Parameter entschlüsseln, modifizieren, den Payload neu verschlüsseln und an den Server zurücksenden, was bei der Deserialisierung zu Remote Code Execution führt.
Mehr erfahren: CWE-326 — Inadequate Encryption Strength
Auswirkungsanalyse
CVE-2018-18325 hat einen CVSS 3.1-Basisscore von 7.5 (HIGH) mit netzwerkbasierten Angriffscharakteristiken.
Vertraulichkeit (Hoch): Die verbleibende schwache Verschlüsselung ermöglicht nicht-authentifizierten entfernten Angreifern die Entschlüsselung geschützter Eingabeparameter. Dies legt Authentifizierungstoken, Sitzungsdaten und serialisierte Objekte offen, die vertraulich sein sollten. Die Offenlegung dieser Werte bildet die Grundlage für schwerwiegendere Angriffe einschließlich Remote Code Execution durch Deserialisierung.
Integrität (Keine): Der CVSS-Vektor zeigt keine direkte Integritätsauswirkung der kryptographischen Schwäche allein. Sobald die Verschlüsselung gebrochen ist, können Angreifer jedoch bösartige serialisierte Payloads erstellen und verschlüsseln, die bei der Deserialisierung durch DNN beliebigen Code ausführen.
Verfügbarkeit (Keine): Keine direkte Verfügbarkeitsauswirkung wird durch den CVSS-Score angezeigt. Die Schwachstelle ermöglicht primär Informationsoffenlegung, obwohl die nachgelagerte Remote-Code-Execution-Fähigkeit zur vollständigen Dienststörung genutzt werden kann.
Scope (Unchanged): Die Schwachstelle ist auf den DNN-Anwendungskontext beschränkt. Der EPSS-Score von 0.91084 (99,64. Perzentil) platziert diese Schwachstelle in den Top 0,4% aller CVEs bezüglich der Ausnutzungswahrscheinlichkeit.
Exploit-Reifegrad
Aktive Ausnutzung: CVE-2018-18325 wird aktiv in freier Wildbahn ausgenutzt. CISA hat diese Schwachstelle am 3. November 2021 in den KEV-Katalog aufgenommen, mit einer verpflichtenden Behebungsfrist bis zum 3. Mai 2022.
Öffentliche Exploits: Derselbe Exploit, der CVE-2018-15811 angreift, ist auch gegen CVE-2018-18325 wirksam, da beide Schwachstellen dieselbe Ursache teilen. Der DotNetNuke Cookie Deserialization Remote Code Execution Exploit demonstriert die vollständige Angriffskette.
Unvollständige Patch-Historie: CVE-2018-18325 adressiert spezifisch die Tatsache, dass der ursprüngliche Fix für CVE-2018-15811 unvollständig war. DNN-Versionen 9.2.2 blieben trotz des ersten Patches verwundbar, was bedeutet, dass Organisationen, die den ersten Fix angewendet hatten, weiterhin gefährdet waren.
EPSS-Kontext: Der EPSS-Score von 0.91084 (99,64. Perzentil) spiegelt die extrem hohe Ausnutzungswahrscheinlichkeit wider. Der Score ist nahezu identisch mit CVE-2018-15811, was bestätigt, dass beide Schwachstellen gleichermaßen von Bedrohungsakteuren angegriffen werden.
KEV-Frist: Bundesbehörden mussten bis zum 3. Mai 2022 Abhilfemaßnahmen ergreifen.
Behebung
-
DotNetNuke sofort auf Version 9.3.0 oder höher aktualisieren. Diese Version enthält den vollständigen Fix für sowohl CVE-2018-15811 als auch CVE-2018-18325. Von der DNN Platform GitHub-Seite herunterladen. Nicht auf den partiellen Fix in Version 9.2.2 vertrauen.
-
Aktuelle DNN-Version gründlich überprüfen. Die DNN-Versionsnummer im Admin-Panel unter Host Settings prüfen. Organisationen, die zuvor für CVE-2018-15811 gepatcht haben, könnten noch Version 9.2.2 verwenden, die weiterhin verwundbar ist.
-
Alle kryptographischen Schlüssel nach dem Upgrade neu generieren. Machine Key und alle Verschlüsselungsschlüssel in der DNN-Konfiguration zurücksetzen. Token oder Cookies, die mit dem alten schwachen Algorithmus verschlüsselt wurden, könnten noch ausnutzbar sein.
-
Gründliches Sicherheitsaudit der DNN-Installation durchführen. IIS-Logs auf verdächtige Cookie-Manipulation prüfen, nach unbefugten Datei-Uploads oder -Änderungen suchen und nach Anzeichen von Deserialisierungsangriffen schauen.
-
Intrusion-Detection-Regeln für .NET-Deserialisierungsangriffe einsetzen. Netzwerk- und hostbasierte IDS/IPS-Regeln konfigurieren, um gängige .NET-Deserialisierungs-Payloads in HTTP-Cookies zu erkennen.
-
Migration auf die neueste DNN-Hauptversion in Betracht ziehen. Eine DNN-Version, die mehrere Patches für dieselbe Schwachstellenklasse benötigte, deutet darauf hin, dass ein umfassenderes Upgrade sinnvoll ist.
Technische Details
CVE-2018-18325 ist eine kryptographische Schwäche in DotNetNuke (DNN) Versionen 9.2 bis 9.2.2, die besteht, weil der Fix für CVE-2018-15811 unvollständig war. DNN schützt Eingabeparameter zwischen Client und Server mittels Verschlüsselung, einschließlich Cookies mit serialisierten .NET-Objekten. Der ursprüngliche Patch versuchte die Verschlüsselung zu verstärken, hinterließ jedoch eine verbleibende Schwäche.
Der CVSS-Vektor (AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N) ist identisch mit CVE-2018-15811 und reflektiert dieselben Angriffscharakteristiken: Remote-Ausnutzung über das Netzwerk, niedrige Komplexität, keine Authentifizierung erforderlich und hohe Vertraulichkeitsauswirkung.
Die Angriffsmethodik ist identisch mit CVE-2018-15811. Ein Angreifer analysiert das Verschlüsselungsschema, bricht die Verschlüsselung und erstellt dann ein bösartiges serialisiertes .NET-Objekt. Der Angreifer verschlüsselt diesen Payload mit dem schwachen Algorithmus und übermittelt ihn als Cookie. DNN entschlüsselt den Wert und deserialisiert das enthaltene Objekt. Da die Deserialisierung unsicher ist, führt das angreiferkontrollierte Objekt beliebigen Code auf dem Server aus.
Das Szenario des unvollständigen Patches ist besonders besorgniserregend, da Organisationen, die den ersten Fix gewissenhaft angewendet hatten, möglicherweise davon ausgingen, geschützt zu sein. DNN-Version 9.2.2 mit dem partiellen Fix für CVE-2018-15811 war weiterhin für dieselbe Angriffsklasse verwundbar. Erst Versionen ab 9.3.0 enthalten die vollständige Behebung des Schwachverschlüsselungsproblems.
Der öffentliche Exploit auf Packet Storm Security funktioniert gegen beide CVEs, da die zugrundeliegende Technik zum Brechen der Verschlüsselung und Ausnutzen der Deserialisierung auf beide verwundbaren Versionsbereiche anwendbar ist.
Häufig gestellte Fragen
Wird CVE-2018-18325 aktiv ausgenutzt?
Ja, CVE-2018-18325 wird aktiv in freier Wildbahn ausgenutzt. CISA hat die aktive Ausnutzung durch Aufnahme in den KEV-Katalog am 3. November 2021 bestätigt. Derselbe öffentliche Exploit, der das verwandte CVE-2018-15811 angreift, ist auch gegen CVE-2018-18325 wirksam.
Welche Produkte sind von CVE-2018-18325 betroffen?
DotNetNuke (DNN) Versionen 9.2 bis 9.2.2 sind betroffen. Diese Schwachstelle ist besonders bemerkenswert, da sie einen unvollständigen Fix für CVE-2018-15811 darstellt. Organisationen, die auf Version 9.2.2 aktualisiert hatten, blieben verwundbar, bis sie auf Version 9.3.0 oder höher aktualisierten.
Wie behebe ich CVE-2018-18325?
Aktualisieren Sie DotNetNuke auf Version 9.3.0 oder höher, die den vollständigen Fix für sowohl CVE-2018-15811 als auch CVE-2018-18325 enthält. Generieren Sie nach dem Upgrade alle kryptographischen Schlüssel und Machine Keys neu und prüfen Sie Serverprotokolle auf Kompromittierungsindikatoren.
Wie schwerwiegend ist CVE-2018-18325?
CVE-2018-18325 wird mit HIGH und einem CVSS-Score von 7.5 bewertet. Obwohl als Informationsoffenlegung durch schwache Verschlüsselung klassifiziert, ist die tatsächliche Schwere deutlich höher, da die offengelegten Informationen Remote Code Execution über unsichere Cookie-Deserialisierung ermöglichen. Der EPSS-Score von 0.91084 (99,64. Perzentil) platziert sie in den Top 0,4% aller CVEs.
Hilfe beim Schwachstellenmanagement?
Unsere Sicherheitsexperten helfen Ihnen bei der Priorisierung und Behebung von Schwachstellen.