CVE-2018-7600
Drupal Core Remote Code Execution Vulnerability
Beschreibung
CVE-2018-7600 ist eine KRITISCHE Remote-Code-Execution-Schwachstelle in Drupal Core mit einem CVSS-3.1-Score von 9.8, weithin bekannt als "Drupalgeddon 2." Die Schwachstelle ermöglicht es nicht authentifizierten Angreifern, über das Netzwerk beliebigen Code auf verwundbaren Drupal-Installationen auszuführen, indem unzureichende Eingabevalidierung im Form-API-Rendering-Subsystem ausgenutzt wird. Betroffen sind Drupal-Versionen vor 7.58, 8.x vor 8.3.9, 8.4.x vor 8.4.6 und 8.5.x vor 8.5.1. Diese CVE ist im CISA Known Exploited Vulnerabilities (KEV) Katalog gelistet mit einer Behebungsfrist bis zum 2022-05-03. Der EPSS-Score von 0.94489 (99,999. Perzentile) bestätigt eine nahezu universelle Ausnutzung und erfordert höchste Priorität bei der Behebung. Diese Schwachstelle wurde mit Ransomware-Kampagnen in Verbindung gebracht.
KEV-Informationen
CVSS-Score
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:HIm Rechner öffnenBetroffene Produkte
| Hersteller | Produkt | Version |
|---|---|---|
| drupal | drupal | <= 7.57; >= 8.0.0, < 8.3.9; >= 8.4.0, < 8.4.6; >= 8.5.0, < 8.5.1 |
| debian | debian linux | 7.0; 8.0; 9.0 |
Mehrere CVSS-Bewertungen
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
Referenzen
- http://www.securityfocus.com/bid/103534(Broken Link, Third Party Advisory, VDB Entry)
- http://www.securitytracker.com/id/1040598(Broken Link, Third Party Advisory, VDB Entry)
- https://badpackets.net/over-100000-drupal-websites-vulnerable-to-drupalgeddon-2-cve-2018-7600/(Broken Link, Third Party Advisory)
- https://blog.appsecco.com/remote-code-execution-with-drupal-core-sa-core-2018-002-95e6ecc0c714(Third Party Advisory)
- https://github.com/a2u/CVE-2018-7600(Third Party Advisory)
- https://github.com/g0rx/CVE-2018-7600-Drupal-RCE(Patch, Third Party Advisory)
- https://greysec.net/showthread.php?tid=2912&pid=10561(Broken Link, Issue Tracking, Third Party Advisory)
- https://groups.drupal.org/security/faq-2018-002(Vendor Advisory)
- https://lists.debian.org/debian-lts-announce/2018/03/msg00028.html(Third Party Advisory)
- https://research.checkpoint.com/uncovering-drupalgeddon-2/(Exploit, Third Party Advisory)
- https://twitter.com/RicterZ/status/979567469726613504(Broken Link, Third Party Advisory)
- https://twitter.com/RicterZ/status/984495201354854401(Broken Link, Third Party Advisory)
- https://twitter.com/arancaytar/status/979090719003627521(Third Party Advisory)
- https://www.debian.org/security/2018/dsa-4156(Third Party Advisory)
- https://www.drupal.org/sa-core-2018-002(Vendor Advisory)
- https://www.exploit-db.com/exploits/44448/(Exploit, Third Party Advisory, VDB Entry)
- https://www.exploit-db.com/exploits/44449/(Exploit, Third Party Advisory, VDB Entry)
- https://www.exploit-db.com/exploits/44482/(Exploit, Third Party Advisory, VDB Entry)
- https://www.synology.com/support/security/Synology_SA_18_17(Third Party Advisory)
- https://www.tenable.com/blog/critical-drupal-core-vulnerability-what-you-need-to-know(Third Party Advisory)
- https://www.cisa.gov/known-exploited-vulnerabilities-catalog?field_cve=CVE-2018-7600(US Government Resource)
Schwachstellentyp
CWE-20: Unzureichende Eingabevalidierung
CVE-2018-7600 wird unter CWE-20 klassifiziert — Unzureichende Eingabevalidierung. Diese Schwachstellenklasse tritt auf, wenn Software Eingabedaten nicht ordnungsgemäß validiert, bevor sie verarbeitet werden. Angreifer können dadurch manipulierte Eingaben erstellen, die das Programmverhalten auf unbeabsichtigte Weise verändern. Unzureichende Eingabevalidierung ist eine der häufigsten Grundursachen für Sicherheitslücken und ermöglicht Injection-Angriffe, Buffer Overflows und Logik-Manipulationen.
Im Kontext von Drupal Core hat das Form-API-Rendering-Subsystem Eingaben, die über Formular-Element-Eigenschaften übergeben wurden, nicht ausreichend bereinigt. Angreifer konnten speziell konstruierte Daten in Drupal-Formular-Rendering-Callbacks einschleusen und dabei Sicherheitsschichten umgehen, die normalerweise Codeausführung verhindern. Da der verwundbare Codepfad ohne Authentifizierung über Standardmodulkonfigurationen zugänglich war, war die Angriffsfläche extrem breit. Über 100.000 Drupal-Sites waren schätzungsweise verwundbar.
Mehr erfahren: CWE-20 — Unzureichende Eingabevalidierung
Auswirkungsanalyse
Vertraulichkeit (HIGH): Erfolgreiche Ausnutzung gewährt vollständigen Lesezugriff auf alle Daten des kompromittierten Drupal-Servers, einschließlich Datenbank-Zugangsdaten, Benutzerdatensätze, Session-Tokens und sämtliche im CMS gespeicherten oder vom Server erreichbaren sensiblen Inhalte.
Integrität (HIGH): Angreifer können jede Datei auf der Drupal-Installation modifizieren, einschließlich Defacement der Website, Einschleusung von Schadcode in an Besucher ausgelieferte Seiten, Manipulation von Datenbankeinträgen und Installation persistenter Backdoors für langfristigen Zugang.
Verfügbarkeit (HIGH): Vollständige Unterbrechung des Drupal-Dienstes ist möglich, einschließlich Offline-Nahme der Website, Verschlüsselung von Dateien für Ransomware, Korruption der Datenbank oder Missbrauch der Serverressourcen für Cryptomining oder Botnet-Aktivitäten.
Mit einem EPSS-Score von 0.94489 (99,999. Perzentile) gehört CVE-2018-7600 zu den am intensivsten ausgenutzten Schwachstellen überhaupt. Automatisierte Exploitation-Tools wurden innerhalb weniger Tage nach Veröffentlichung bereitgestellt, und massenhafte Scanning-Kampagnen zielten weltweit auf verwundbare Drupal-Installationen.
Exploit-Reifegrad
Exploit-Status: CVE-2018-7600 wird aktiv in der Praxis ausgenutzt und ist im CISA Known Exploited Vulnerabilities (KEV) Katalog gelistet. Mehrere öffentliche Exploits sind frei verfügbar, einschließlich Proof-of-Concept-Code auf GitHub und Einträgen in Exploit-DB. Die Ausnutzung wurde innerhalb weniger Tage nach dem initialen Advisory beobachtet.
Ransomware-Bezug: Diese Schwachstelle wurde bestätigt mit Ransomware-Kampagnen in Verbindung gebracht. Bedrohungsakteure haben CVE-2018-7600 genutzt, um initialen Zugang zu Drupal-Servern zu erhalten und anschließend Ransomware-Payloads zur Verschlüsselung von Site-Daten einzusetzen.
Angriffsfläche: Die Schwachstelle ist trivial ausnutzbar mit weit verbreiteten Tools. Metasploit-Module existieren für automatisierte Ausnutzung. Der Angriff erfordert keine Authentifizierung, keine Benutzerinteraktion und funktioniert gegen Standard-Drupal-Konfigurationen. Der EPSS-Score von 0.94489 (99,999. Perzentile) platziert diese unter den am meisten ausgenutzten Schwachstellen überhaupt.
KEV-Frist: Die CISA-Behebungsfrist war der 2022-05-03. Jede ungepatchte Drupal-Installation sollte als wahrscheinlich kompromittiert betrachtet werden.
Behebung
- Drupal Core umgehend aktualisieren. Aktualisieren Sie auf Drupal 7.58, 8.3.9, 8.4.6, 8.5.1 oder neuer. Konsultieren Sie den offiziellen Drupal-Sicherheitshinweis unter SA-CORE-2018-002 für versionsspezifische Anweisungen.
- Alle Drupal-Installationen in Ihrer Umgebung identifizieren. Nutzen Sie Asset-Discovery-Tools, um jede Drupal-Instanz zu finden, einschließlich Entwicklungs-, Staging- und vergessener Installationen. Betroffene Versionen: Drupal 7.x vor 7.58, 8.x vor 8.3.9, 8.4.x vor 8.4.6, 8.5.x vor 8.5.1.
- Bei verzögertem Patching von Kompromittierung ausgehen. Da automatisierte Ausnutzung innerhalb weniger Tage nach Veröffentlichung begann, sollte jede nicht zeitnah gepatchte Drupal-Installation forensisch auf Kompromittierungsindikatoren untersucht werden, einschließlich Web-Shells, modifizierter Dateien und unautorisierter Datenbankänderungen.
- Web-Application-Firewall-Regeln implementieren. Setzen Sie WAF-Regeln ein, um Ausnutzungsversuche gegen Drupal-Form-API-Schwachstellen als zusätzliche Verteidigungsschicht zu blockieren.
- Server-Zugriffsprotokolle auf Exploit-Indikatoren prüfen. Suchen Sie nach ungewöhnlichen POST-Anfragen an Drupal-Formular-Endpunkte, unerwarteter Dateierstellung im Webroot und Anzeichen von Aufklärungsaktivitäten.
- Drupal-Sicherheitskonfiguration härten. Deaktivieren Sie unnötige Module, beschränken Sie Dateiberechtigungen, implementieren Sie Security-Header und stellen Sie regelmäßige Backup-Prozeduren sicher.
Technische Details
Angriffsvektor: NETWORK
Angriffskomplexität: Niedrig
Erforderliche Rechte: Keine
Benutzerinteraktion: Keine
Technischer Ablauf: Die Schwachstelle existiert im Form-API-Rendering-Subsystem (FAPI) von Drupal. Drupals Rendering-Engine akzeptiert verschachtelte Arrays, die Seitenelemente beschreiben (Render-Arrays). Bestimmte Eigenschaften innerhalb dieser Arrays können während des Rendering-Prozesses Callbacks auslösen. Ein Angreifer kann manipulierte Daten in Formular-Element-Eigenschaften einschleusen, die von Render-Callbacks verarbeitet werden, und dadurch Codeausführung erreichen.
Angriffsablauf: Der Angreifer sendet eine speziell konstruierte HTTP-POST-Anfrage an einen Drupal-Formular-Endpunkt (häufig das Benutzerregistrierungsformular unter /user/register). Die Payload manipuliert Formular-Element-Eigenschaften, um Shell-Befehle in Render-Callbacks einzuschleusen. Wenn Drupal die Formularübermittlung verarbeitet und die Antwort rendert, werden die eingeschleusten Befehle mit den Rechten des Webserver-Prozesses ausgeführt.
Betroffene Produkte: Drupal (<= 7.57), Drupal (>= 8.0.0, < 8.3.9), Drupal (>= 8.4.0, < 8.4.6), Drupal (>= 8.5.0, < 8.5.1), Debian Linux (7.0, 8.0, 9.0)
CVSS-3.1-Bewertung (CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H): Netzwerkzugänglich, niedrige Komplexität, keine Privilegien erforderlich, keine Benutzerinteraktion nötig. Der Unchanged-Scope bedeutet, dass die Auswirkungen auf den Drupal-Server begrenzt sind, aber der HIGH-Impact über alle drei CIA-Dimensionen reflektiert eine vollständige Systemkompromittierung.
Häufig gestellte Fragen
Wird CVE-2018-7600 aktiv ausgenutzt?
Ja, CVE-2018-7600 ist eine der am aktivsten ausgenutzten CMS-Schwachstellen der Geschichte. Sie wurde in den CISA KEV-Katalog aufgenommen und hat einen EPSS-Score von 0.94489 (99,999. Perzentile), der eine nahezu universelle Ausnutzung bestätigt. Automatisierte Exploit-Tools erschienen innerhalb weniger Tage nach Veröffentlichung, und massenhafte Angriffskampagnen haben Drupal-Sites weltweit betroffen. Die Schwachstelle wurde auch mit Ransomware-Kampagnen in Verbindung gebracht.
Welche Produkte sind von CVE-2018-7600 betroffen?
Betroffen sind Drupal Core-Versionen vor 7.58, 8.x vor 8.3.9, 8.4.x vor 8.4.6 und 8.5.x vor 8.5.1. Debian Linux-Versionen 7.0, 8.0 und 9.0, die verwundbare Drupal-Pakete auslieferten, sind ebenfalls betroffen. Jede Website mit einer ungepatchten Drupal-Installation ist gefährdet.
Wie behebe ich CVE-2018-7600?
Aktualisieren Sie Drupal Core auf die neueste gepatchte Version (7.58+, 8.3.9+, 8.4.6+ oder 8.5.1+). Falls das Patching nach der Veröffentlichung im März 2018 verzögert wurde, führen Sie eine forensische Überprüfung des Servers auf Kompromittierungsanzeichen durch. Setzen Sie WAF-Regeln ein, überprüfen Sie Zugriffsprotokolle und erwägen Sie eine Neuaufstellung des Servers aus einem bekanntermaßen sauberen Backup.
Wie schwerwiegend ist CVE-2018-7600?
CVE-2018-7600 ist mit einem CVSS-Score von 9.8 als KRITISCH eingestuft. Sie ermöglicht unauthentifizierte Remote-Codeausführung ohne Benutzerinteraktion. Der EPSS-Score von 0.94489 (99,999. Perzentile) macht sie zu einer der am wahrscheinlichsten ausgenutzten Schwachstellen überhaupt. Sie hat bestätigte Ransomware-Verbindungen und die CISA-Behebungsfrist war der 2022-05-03.
Hilfe beim Schwachstellenmanagement?
Unsere Sicherheitsexperten helfen Ihnen bei der Priorisierung und Behebung von Schwachstellen.