CVE-2019-18187
Trend Micro OfficeScan Directory Traversal Vulnerability
Beschreibung
CVE-2019-18187 ist eine schwerwiegende Directory-Traversal-Schwachstelle in Trend Micro OfficeScan. Die betroffenen Versionen 11.0 und XG (12.0) ermöglichen es Angreifern, Dateien aus einem beliebigen ZIP-Archiv in einen bestimmten Ordner auf dem OfficeScan-Server zu extrahieren, indem eine Path-Traversal-Schwachstelle ausgenutzt wird, was potenziell zu Remote Code Execution führen kann. Die Schwachstelle ist als CWE-22 (Path Traversal) klassifiziert, da die Anwendung Dateipfade während der ZIP-Extraktion nicht ordnungsgemäß validiert. Die CISA hat CVE-2019-18187 in den KEV-Katalog aufgenommen und damit die aktive Ausnutzung bestätigt. Mit einem EPSS-Score von 78,45 % (99,02. Perzentil) besteht eine sehr hohe Wahrscheinlichkeit aktiver Ausnutzung.
KEV-Informationen
CVSS-Score
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:NIm Rechner öffnenBetroffene Produkte
| Hersteller | Produkt | Version |
|---|---|---|
| trendmicro | officescan | 11.0; xg |
Mehrere CVSS-Bewertungen
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N
CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H
Referenzen
- https://success.trendmicro.com/solution/000151730(Broken Link, Vendor Advisory)
- https://web.archive.org/web/20200215171235/https://success.trendmicro.com/solution/000151730(Vendor Advisory)
- https://www.cisa.gov/known-exploited-vulnerabilities-catalog?field_cve=CVE-2019-18187(US Government Resource)
Schwachstellentyp
CWE-22: Unsachgemäße Beschränkung eines Pfadnamens auf ein eingeschränktes Verzeichnis (‘Path Traversal’)
Path Traversal tritt auf, wenn Software externe Eingaben zur Konstruktion eines Pfadnamens verwendet, aber spezielle Elemente wie ".." nicht ordnungsgemäß neutralisiert, die außerhalb des beabsichtigten Verzeichnisses auflösen können. Bei Trend Micro OfficeScan validiert der ZIP-Extraktionsmechanismus die Dateipfade innerhalb von Archivinhalten nicht ausreichend, sodass ein Angreifer durch ein manipuliertes ZIP-Archiv mit Traversal-Sequenzen Dateien an beliebige Stellen auf dem Server schreiben kann.
Mehr erfahren: CWE-22 — Unsachgemäße Beschränkung eines Pfadnamens auf ein eingeschränktes Verzeichnis (‘Path Traversal’)
Auswirkungsanalyse
CVE-2019-18187 weist einen CVSS-3.1-Score von 7,5 (HIGH) auf, was ein erhebliches Sicherheitsrisiko darstellt. Die Schwachstelle ist über das Netzwerk mit geringer Angriffskomplexität ausnutzbar und erfordert weder Authentifizierung noch Benutzerinteraktion, was sie besonders gefährlich macht. Vertraulichkeit (Hoch) ist schwerwiegend betroffen, da Angreifer sensible Dateien vom Server extrahieren können, einschließlich Konfigurationsdaten und Zugangsdaten. Obwohl Integrität und Verfügbarkeit laut CVSS-Metriken nicht direkt betroffen sind, kann die Directory Traversal als Sprungbrett für Remote Code Execution dienen, wenn sie mit Dateischreibfähigkeiten kombiniert wird. Der EPSS-Score von 78,45 % platziert diese Schwachstelle im 99,02. Perzentil und weist auf eine sehr hohe Wahrscheinlichkeit aktiver Ausnutzung hin. Organisationen, die Trend Micro OfficeScan Version 11.0 oder XG ohne Patches betreiben, sind einem erheblichen Risiko der Datenexposition und potenziellen Systemkompromittierung ausgesetzt.
Exploit-Reifegrad
CVE-2019-18187 ist durch die Aufnahme in den CISA-KEV-Katalog als aktiv ausgenutzt bestätigt, mit einer Behebungsfrist bis zum 03.05.2022. Der EPSS-Score von 78,45 % (99,02. Perzentil) weist auf eine sehr hohe Ausnutzungswahrscheinlichkeit hin. Obwohl in den NVD-Referenzen keine öffentlichen Proof-of-Concept-Exploits direkt verlinkt sind, bestätigt Trend Micros Advisory, dass die Schwachstelle in aktiven Angriffen auf OfficeScan-Installationen beobachtet wurde. Die Kombination aus Netzwerkzugänglichkeit, fehlendem Authentifizierungserfordernis und dem potenziellen Pfad von Directory Traversal zu Remote Code Execution macht diese Schwachstelle für Bedrohungsakteure besonders attraktiv.
Behebung
- Hersteller-Patches sofort anwenden gemäß CISA-KEV-Anforderung. Installieren Sie die von Trend Micro bereitgestellten Sicherheitsupdates für OfficeScan Version 11.0 und XG (12.0) wie im Hersteller-Advisory dokumentiert.
- Überprüfen Sie, ob alle Trend Micro OfficeScan-Installationen auf gepatchte Versionen aktualisiert wurden. Prüfen Sie insbesondere OfficeScan 11.0 und XG-Deployments in der gesamten Organisation auf den korrekten Patch-Status.
- Beschränken Sie den Netzwerkzugriff auf die OfficeScan-Server-Verwaltungsschnittstellen mittels Firewall-Regeln und Netzwerksegmentierung und limitieren Sie Verbindungen auf autorisierte Administratoren.
- Überwachen Sie die OfficeScan-Server-Logs auf verdächtige Dateiextraktionsaktivitäten, unerwartete ZIP-Datei-Operationen und unautorisierte Dateiänderungen in Server-Verzeichnissen, die auf Ausnutzungsversuche hindeuten könnten.
- Implementieren Sie Dateiintegritätsüberwachung auf dem OfficeScan-Server, um unautorisierte Dateischreibvorgänge zu erkennen, und stellen Sie sicher, dass das Webdienstkonto, unter dem OfficeScan läuft, mit minimalen Dateisystemberechtigungen arbeitet.
Technische Details
CVE-2019-18187 nutzt eine Directory-Traversal-Schwachstelle in der ZIP-Datei-Extraktionsverarbeitung von Trend Micro OfficeScan aus. Die Schwachstelle ermöglicht es einem Angreifer, ein manipuliertes ZIP-Archiv mit Dateieinträgen zu erstellen, die Path-Traversal-Sequenzen (wie "../") enthalten und bei der Extraktion durch OfficeScan Dateien an Speicherorte außerhalb des vorgesehenen Extraktionsverzeichnisses schreiben. Der CVSS-Vektor (CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N) bestätigt, dass der Angriff netzwerkbasiert ist, keine Privilegien oder Benutzerinteraktion erfordert und primär die Vertraulichkeit beeinträchtigt. Während die NVD-Beschreibung anmerkt, dass die Remoteprozessausführung an ein Webdienstkonto mit möglicherweise eingeschränkten Berechtigungen gebunden ist, kann die Möglichkeit, beliebige Dateien auf den Server zu schreiben, je nach Serverkonfiguration für Remote Code Execution genutzt werden. Die Schwachstelle betrifft OfficeScan-Versionen 11.0 und XG.
Häufig gestellte Fragen
Wird CVE-2019-18187 aktiv ausgenutzt?
Ja. CVE-2019-18187 ist im CISA-KEV-Katalog gelistet, was die aktive Ausnutzung in freier Wildbahn bestätigt. Der EPSS-Score von 78,45 % (99,02. Perzentil) weist zusätzlich auf eine sehr hohe Ausnutzungswahrscheinlichkeit hin.
Welche Produkte sind von CVE-2019-18187 betroffen?
CVE-2019-18187 betrifft Trend Micro OfficeScan Version 11.0 und XG (12.0). Organisationen, die eine dieser Versionen einsetzen, sollten ihren Patch-Status umgehend überprüfen.
Wie behebe ich CVE-2019-18187?
Wenden Sie die Sicherheitsupdates von Trend Micro für OfficeScan Version 11.0 und XG an, wie im Hersteller-Advisory dokumentiert. Als Übergangslösung beschränken Sie den Netzwerkzugriff auf OfficeScan-Server-Verwaltungsschnittstellen und implementieren Sie Dateiintegritätsüberwachung.
Wie schwerwiegend ist CVE-2019-18187?
CVE-2019-18187 hat einen CVSS-3.1-Score von 7,5 (HIGH). Die Schwachstelle ermöglicht Remote Directory Traversal ohne Authentifizierung und kann potenziell zu Remote Code Execution führen. Der EPSS-Score im 99,02. Perzentil zeigt, dass sie zu den am wahrscheinlichsten ausgenutzten Schwachstellen gehört.
Hilfe beim Schwachstellenmanagement?
Unsere Sicherheitsexperten helfen Ihnen bei der Priorisierung und Behebung von Schwachstellen.