CVE-2019-16256
SIMalliance Toolbox Browser Command Injection Vulnerability
Beschreibung
CVE-2019-16256 ist eine kritische Command-Injection-Schwachstelle im SIMalliance Toolbox Browser (S@T Browser), der auf UICC-SIM-Karten eingebettet ist und weithin als Simjacker-Angriff bekannt ist. Die Schwachstelle ermoeglicht es entfernten Angreifern, speziell praeparierte SMS-Nachrichten mit SIM Toolkit (STK)-Anweisungen zu senden, die der S@T Browser ohne Benutzerinteraktion ausfuehrt, was das Abrufen von Geraetestandortdaten, IMEI-Nummern und die Ausfuehrung weiterer Befehle auf dem Zielgeraet ermoeglicht. CISA hat die aktive Ausnutzung dieser Schwachstelle durch Aufnahme in den Katalog der bekannten ausgenutzten Schwachstellen bestaetigt. Mit einem EPSS-Score von 61,19 % (98,3. Perzentil) stellt CVE-2019-16256 eine erhebliche und andauernde Bedrohung fuer die Sicherheit mobiler Geraete weltweit dar.
KEV-Informationen
CVSS-Score
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:HIm Rechner öffnenBetroffene Produkte
| Hersteller | Produkt | Version |
|---|---|---|
| trustedconnectivityalliance | s\@t browser | - |
Mehrere CVSS-Bewertungen
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
Referenzen
- https://www.adaptivemobile.com/blog/simjacker-next-generation-spying-over-mobile(Exploit, Third Party Advisory)
- https://www.cisa.gov/known-exploited-vulnerabilities-catalog?field_cve=CVE-2019-16256(US Government Resource)
Schwachstellentyp
Command Injection
Command-Injection-Schwachstellen treten auf, wenn eine Anwendung unsichere Daten an einen Systembefehlsinterpreter weitergibt. Im Fall von CVE-2019-16256 verarbeitet der S@T Browser auf SIM-Karten STK-Befehle, die per SMS empfangen werden, ohne ordnungsgemaesse Validierung oder Autorisierungspruefungen, wodurch Angreifer beliebige Befehle auf der SIM-Karte und dem Mobilgeraet ausfuehren koennen.
Mehr erfahren: Command Injection — MITRE CWE
Auswirkungsanalyse
CVE-2019-16256 hat einen CVSS-3.1-Score von 9,8 (KRITISCH) und spiegelt die maximale Schwere dieser Schwachstelle wider. Der Angriff ist netzwerkbasiert und erfordert keine Authentifizierung, keine Benutzerinteraktion und keine besonderen Bedingungen, was ihn fuer jeden Angreifer ausnutzbar macht, der eine SMS senden kann. Vertraulichkeit (Hoch): Angreifer koennen sensible Geraeteinformationen wie geografischen Standort, IMEI und andere identifizierende Daten abrufen. Integritaet (Hoch): Die Schwachstelle ermoeglicht die Ausfuehrung beliebiger STK-Befehle, einschliesslich unautorisierter Aktionen wie SMS-Versand, Anrufinitiierung oder Browser-Start. Verfuegbarkeit (Hoch): Wiederholte Ausnutzung kann den normalen Geraetebetrieb stoeren. Der EPSS-Score von 61,19 % bestaetigt eine hohe Wahrscheinlichkeit aktiver Ausnutzung, und das Ausmass der Auswirkungen ist enorm, da Millionen von SIM-Karten weltweit den verwundbaren S@T Browser enthalten koennten.
Exploit-Reifegrad
CISA hat die aktive Ausnutzung von CVE-2019-16256 durch Aufnahme in den Katalog der bekannten ausgenutzten Schwachstellen bestaetigt. Der Simjacker-Angriff wurde erstmals von AdaptiveMobile Security offengelegt, die seine Verwendung durch einen Ueberwachungsanbieter gegen Mobilfunknutzer in mehreren Laendern dokumentierten. Details zur Ausnutzung wurden in deren Forschungsblog veroeffentlicht. Der EPSS-Score von 61,19 % (98,3. Perzentil) weist auf eine hohe Wahrscheinlichkeit von Ausnutzungsaktivitaeten hin. Der Angriff erfordert lediglich die Faehigkeit, SMS-Nachrichten an das Ziel zu senden, was die Huerde fuer staatliche Akteure und anspruchsvolle Bedrohungsgruppen mit Zugang zur SMS-Infrastruktur extrem niedrig macht.
Behebung
- Updates gemaess Herstelleranweisungen anwenden, wie von CISA KEV gefordert. Kontaktieren Sie Ihren SIM-Karten-Anbieter oder Mobilfunknetzbetreiber, um festzustellen, ob Ihre SIM-Karten den S@T Browser enthalten, und fordern Sie aktualisierte Firmware oder Ersatz-SIMs an.
- Mobilfunknetzbetreiber sollten SMS-Filterung auf Netzwerkebene implementieren, um Nachrichten mit verdaechtigen STK-Befehls-Payloads zu erkennen und zu blockieren, die auf den S@T Browser abzielen.
- Netzwerkebene-Schutzmassnahmen einsetzen, die eingehende SMS-Nachrichten auf binaere SMS-Payloads mit SIM-Toolkit-Anweisungen untersuchen, insbesondere solche, die auf die S@T Browser TAR (Toolkit Application Reference) abzielen.
- Organisationen sollten eine Bestandsaufnahme der eingesetzten SIM-Karten durchfuehren, um diejenigen zu identifizieren, die den verwundbaren S@T Browser ausfuehren, und den Austausch mit SIM-Karten ohne diese Komponente priorisieren.
- Auf Indikatoren einer Simjacker-Ausnutzung ueberwachen, einschliesslich ungewoehnlicher binaerer SMS-Verkehrsmuster, unerwarteter Geraetestandortabfragen und anomaler STK-Aktivitaeten in Mobile-Device-Management (MDM)-Protokollen.
Technische Details
CVE-2019-16256 zielt auf den S@T Browser (SIMalliance Toolbox Browser) ab, eine Legacy-Anwendung, die auf der UICC (Universal Integrated Circuit Card) bestimmter SIM-Karten eingebettet ist. Der S@T Browser verarbeitet SIM Toolkit (STK)-Anweisungen, die ueber speziell praeparierte binaere SMS-Nachrichten uebermittelt werden. Wenn eine boesartige SMS mit STK-Befehlen eine SIM-Karte mit dem verwundbaren S@T Browser erreicht, werden die Befehle automatisch ohne jegliche Benachrichtigung oder Bestaetigung durch den Geraetebenutzer ausgefuehrt. Der CVSS-Vektor (AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H) verdeutlicht, dass der Angriff vollstaendig netzwerkbasiert ueber SMS erfolgt, keine Komplexitaet oder Privilegien erfordert und zu einer vollstaendigen Kompromittierung von Vertraulichkeit, Integritaet und Verfuegbarkeit fuehrt. Die Schwachstelle ist besonders gefaehrlich, da sie auf SIM-Karten-Ebene unterhalb des Betriebssystems operiert, was sie fuer mobile Sicherheitsanwendungen unsichtbar und fuer den Geraetebenutzer nicht erkennbar macht.
Häufig gestellte Fragen
Wird CVE-2019-16256 aktiv ausgenutzt?
Ja. CVE-2019-16256, bekannt als Simjacker, wurde aktiv von Ueberwachungsunternehmen ausgenutzt, die Mobilfunknutzer in mehreren Laendern ins Visier genommen haben. CISA hat dies durch Aufnahme der Schwachstelle in den Katalog der bekannten ausgenutzten Schwachstellen bestaetigt. Der EPSS-Score von 61,19 % (98,3. Perzentil) weist zusaetzlich auf hohe Ausnutzungsaktivitaet hin.
Welche Produkte sind von CVE-2019-16256 betroffen?
CVE-2019-16256 betrifft SIM-Karten, die den SIMalliance Toolbox Browser (S@T Browser) auf der UICC enthalten. Dies umfasst SIM-Karten verschiedener Hersteller und Mobilfunkbetreiber. Samsung-Geraete wurden in der ersten Offenlegung speziell erwaehnt, aber jede SIM-Karte mit installiertem S@T Browser kann verwundbar sein.
Wie behebe ich CVE-2019-16256?
Kontaktieren Sie Ihren Mobilfunknetzbetreiber oder SIM-Karten-Anbieter, um festzustellen, ob Ihre SIM den S@T Browser enthaelt. Fordern Sie Ersatz-SIMs ohne die verwundbare Komponente oder mit aktualisierter Firmware an. Netzbetreiber sollten SMS-Filterung implementieren, um boesartige STK-Befehls-Payloads zu blockieren.
Wie schwerwiegend ist CVE-2019-16256?
CVE-2019-16256 hat einen CVSS-3.1-Score von 9,8 (KRITISCH), die hoechste Schweregradwertung. Die Schwachstelle ermoeglicht eine vollstaendige Fernkompromittierung per SMS ohne jegliche Benutzerinteraktion. Das 98,3. EPSS-Perzentil platziert sie unter den am wahrscheinlichsten ausgenutzten Schwachstellen, und ihre Verwendung in realen Ueberwachungsoperationen bestaetigt die kritische Natur dieser Bedrohung.
Hilfe beim Schwachstellenmanagement?
Unsere Sicherheitsexperten helfen Ihnen bei der Priorisierung und Behebung von Schwachstellen.