CVE-2019-10758
MongoDB mongo-express Remote Code Execution Vulnerability
Beschreibung
CVE-2019-10758 ist eine kritische Code Injection-Schwachstelle in MongoDB mongo-express vor Version 0.54.0. Die Schwachstelle entsteht durch den unsicheren Einsatz der Node.js vm-Abhängigkeit in Endpunkten, die die toBSON-Methode verwenden, wodurch ein Angreifer mit niedrigen Privilegien beliebigen Code auf dem Server ausführen kann. Mit einem CVSS 3.1-Score von 9.9 (CRITICAL) und einem erweiterten Geltungsbereich (Scope: Changed) kann die Ausnutzung auch Ressourcen außerhalb der mongo-express-Anwendung kompromittieren. CISA hat CVE-2019-10758 in den KEV-Katalog aufgenommen, und der EPSS-Score von 94,36 % (99,96. Perzentile) zeigt eine nahezu sichere aktive Ausnutzung dieser mongo-express-Schwachstelle.
KEV-Informationen
CVSS-Score
CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:C/C:H/I:H/A:HIm Rechner öffnenBetroffene Produkte
| Hersteller | Produkt | Version |
|---|---|---|
| mongo-express project | mongo-express | < 0.54.0 |
Mehrere CVSS-Bewertungen
CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:C/C:H/I:H/A:H
CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:C/C:H/I:H/A:H
Referenzen
- https://snyk.io/vuln/SNYK-JS-MONGOEXPRESS-473215(Exploit, Third Party Advisory)
- https://www.cisa.gov/known-exploited-vulnerabilities-catalog?field_cve=CVE-2019-10758(US Government Resource)
Schwachstellentyp
CWE-94: Unsachgemäße Kontrolle der Code-Generierung ('Code Injection')
Code Injection tritt auf, wenn Software Codesegmente unter Verwendung extern beeinflusster Eingaben konstruiert, ohne Spezialelemente korrekt zu neutralisieren. In mongo-express wird die Node.js vm-Abhängigkeit unsicher verwendet, um exec-Befehle in einer nicht abgesicherten Umgebung auszuführen. Angreifer können über die toBSON-Endpunkte bösartigen JavaScript-Code einschleusen, der im Kontext des Serverprozesses ausgeführt wird und zu vollständiger Systemkompromittierung führen kann.
Weitere Informationen: CWE-94 — Unsachgemäße Kontrolle der Code-Generierung ('Code Injection')
Auswirkungsanalyse
CVE-2019-10758 hat einen CVSS 3.1-Score von 9.9 (CRITICAL) und gehört damit zu den schwerwiegendsten Schwachstellen. Die Schwachstelle ist über das Netzwerk ausnutzbar (Attack Vector: NETWORK) bei geringer Angriffskomplexität (Attack Complexity: LOW) und erfordert nur niedrige Privilegien (Privileges Required: LOW), ohne dass eine Benutzerinteraktion nötig ist. Besonders kritisch ist der erweiterte Geltungsbereich (Scope: CHANGED), was bedeutet, dass die Ausnutzung Ressourcen über die verwundbare mongo-express-Anwendung hinaus gefährden kann. Vertraulichkeit (High): Angreifer können sämtliche Daten des Servers und der verbundenen MongoDB-Datenbanken auslesen. Integrität (High): Beliebige Codeausführung erlaubt das Modifizieren von Daten, das Installieren von Backdoors und die Manipulation von Anwendungslogik. Verfügbarkeit (High): Der gesamte Server kann kompromittiert oder funktionsunfähig gemacht werden. Der EPSS-Score von 94,36 % unterstreicht die extreme Ausnutzungswahrscheinlichkeit.
Exploit-Reifegrad
Öffentlicher Exploit-Code ist verfügbar für CVE-2019-10758 über Snyk, wo die Schwachstelle detailliert dokumentiert und ein Proof-of-Concept bereitgestellt wird. CISA hat die aktive Ausnutzung von CVE-2019-10758 bestätigt und die Schwachstelle in den Known Exploited Vulnerabilities-Katalog aufgenommen, mit einer Behebungsfrist bis zum 2022-06-10. Der EPSS-Score von 94,36 % (99,96. Perzentile) zeigt eine nahezu sichere aktive Ausnutzung und platziert diese Schwachstelle in der absoluten Spitzengruppe der am häufigsten ausgenutzten Sicherheitslücken. Die Kombination aus öffentlich verfügbarem Exploit-Code, bestätigter aktiver Ausnutzung und der geringen Hürde für Angreifer macht eine sofortige Behebung unabdingbar.
Behebung
- Pflichtmaßnahme laut CISA KEV: Apply updates per vendor instructions. Aktualisieren Sie mongo-express umgehend auf Version 0.54.0 oder höher.
- Überprüfen Sie alle mongo-express-Installationen und stellen Sie sicher, dass keine Version vor 0.54.0 im Einsatz ist. Prüfen Sie insbesondere Docker-Container und Entwicklungsumgebungen, in denen mongo-express häufig verwendet wird.
- Beschränken Sie den Netzwerkzugriff auf mongo-express ausschließlich auf vertrauenswürdige Netzwerke und IP-Adressen. mongo-express sollte niemals direkt über das Internet erreichbar sein. Setzen Sie einen Reverse-Proxy mit Authentifizierung ein.
- Überwachen Sie Serverprotokolle auf ungewöhnliche Aktivitäten, insbesondere verdächtige Anfragen an
toBSON-Endpunkte und unerwartete Prozessausführungen auf dem Hostsystem. - Implementieren Sie als langfristige Maßnahme eine strikte Eingabevalidierung und vermeiden Sie die Verwendung von
eval(),exec()oder ähnlichen dynamischen Code-Ausführungsfunktionen mit benutzerbereitgestellten Eingaben. Führen Sie mongo-express mit minimal notwendigen Privilegien aus und isolieren Sie es in einer Sandbox-Umgebung.
Technische Details
CVE-2019-10758 betrifft mongo-express vor Version 0.54.0, eine webbasierte Administrationsoberfläche für MongoDB-Datenbanken. Die Schwachstelle liegt in der unsicheren Verwendung der Node.js vm-Abhängigkeit innerhalb der toBSON-Methode. Endpunkte, die diese Methode aufrufen, ermöglichen es authentifizierten Benutzern, beliebigen JavaScript-Code einzuschleusen, der in einer nicht abgesicherten Sandbox-Umgebung ausgeführt wird. Der CVSS-Vektor CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:C/C:H/I:H/A:H spiegelt die netzwerkbasierte Ausnutzbarkeit bei geringer Komplexität und niedrigen Privilegien wider, wobei der erweiterte Scope (S:C) darauf hinweist, dass die Kompromittierung über die mongo-express-Anwendung hinaus auf das zugrunde liegende System übergreifen kann. Die Klassifizierung als CWE-94 (Code Injection) verdeutlicht, dass das Problem in der direkten Ausführung von benutzergesteuerten Eingaben als Code liegt.
Häufig gestellte Fragen
Wird CVE-2019-10758 aktiv ausgenutzt?
Ja. CVE-2019-10758 ist im CISA Known Exploited Vulnerabilities-Katalog gelistet, was eine aktive Ausnutzung bestätigt. Der EPSS-Score von 94,36 % (99,96. Perzentile) platziert diese Schwachstelle in der absoluten Spitzengruppe der am wahrscheinlichsten ausgenutzten Sicherheitslücken.
Welche Produkte sind von CVE-2019-10758 betroffen?
CVE-2019-10758 betrifft mongo-express in Versionen vor 0.54.0. mongo-express ist eine weit verbreitete webbasierte Administrationsoberfläche für MongoDB-Datenbanken, die häufig in Entwicklungsumgebungen und Docker-Containern eingesetzt wird.
Wie behebe ich CVE-2019-10758?
Aktualisieren Sie mongo-express auf Version 0.54.0 oder höher. Falls ein sofortiges Update nicht möglich ist, beschränken Sie den Netzwerkzugriff auf die Anwendung und stellen Sie sicher, dass sie nicht über das Internet erreichbar ist. Prüfen Sie insbesondere Docker-basierte Deployments.
Wie schwerwiegend ist CVE-2019-10758?
CVE-2019-10758 hat einen CVSS 3.1-Score von 9.9 (CRITICAL) und ist damit eine der schwerwiegendsten bewerteten Schwachstellen. Der erweiterte Geltungsbereich ermöglicht Angreifern die Kompromittierung des gesamten Hostsystems über die mongo-express-Anwendung hinaus.
Hilfe beim Schwachstellenmanagement?
Unsere Sicherheitsexperten helfen Ihnen bei der Priorisierung und Behebung von Schwachstellen.