CVE-2019-3929
Crestron Multiple Products Command Injection Vulnerability
Beschreibung
CVE-2019-3929 ist eine Command-Injection-Schwachstelle, die mehrere Crestron-Produkte über den HTTP-Endpunkt file_transfer.cgi betrifft. Diese kritische Schwachstelle ermöglicht es einem entfernten, nicht authentifizierten Angreifer, beliebige Betriebssystembefehle als Root auf den betroffenen Geräten auszuführen. Die Command-Injection in Crestron-Produkten erfordert keine Authentifizierung und bietet das höchste Maß an Systemzugriff, was eine triviale Ausnutzung zur vollständigen Gerätekompromittierung ermöglicht. Die CISA hat CVE-2019-3929 in den KEV-Katalog mit einer Behebungsfrist bis zum 6. Mai 2022 aufgenommen. Das EPSS-Perzentil von etwa 99,96 % weist auf nahezu sichere Ausnutzungsaktivität hin.
KEV-Informationen
CVSS-Score
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:HIm Rechner öffnenCWEs
Betroffene Produkte
| Hersteller | Produkt | Version |
|---|---|---|
| crestron | am-100 firmware | 1.6.0.2 |
| crestron | am-101 firmware | 2.7.0.2 |
| barco | wepresent wipg-1000p firmware | 2.3.0.10 |
| barco | wepresent wipg-1600w firmware | < 2.4.1.19 |
| extron | sharelink 200 firmware | 2.0.3.4 |
| extron | sharelink 250 firmware | 2.0.3.4 |
| teqavit | wips710 firmware | 1.1.0.7 |
| sharp | pn-l703wa firmware | 1.4.2.3 |
| optoma | wps-pro firmware | 1.0.0.5 |
| blackbox | hd wireless presentation system firmware | 1.0.0.5 |
| infocus | liteshow3 firmware | 1.0.16 |
| infocus | liteshow4 firmware | 2.0.0.7 |
Mehrere CVSS-Bewertungen
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
Referenzen
- http://packetstormsecurity.com/files/152715/Barco-AWIND-OEM-Presentation-Platform-Unauthenticated-Remote-Command-Injection.html(Third Party Advisory, VDB Entry)
- http://packetstormsecurity.com/files/155948/Barco-WePresent-file_transfer.cgi-Command-Injection.html(Third Party Advisory, VDB Entry)
- https://www.exploit-db.com/exploits/46786/(Exploit, Third Party Advisory, VDB Entry)
- https://www.tenable.com/security/research/tra-2019-20(Exploit, Third Party Advisory)
- https://www.cisa.gov/known-exploited-vulnerabilities-catalog?field_cve=CVE-2019-3929(US Government Resource)
Schwachstellentyp
CWE-78: Improper Neutralization of Special Elements used in an OS Command (OS Command Injection)
Die Command-Injection-Schwachstelle in Crestron-Produkten tritt auf, wenn der file_transfer.cgi-Endpunkt benutzerseitige Eingaben nicht ordnungsgemäß bereinigt, bevor sie in Betriebssystembefehle eingebunden werden. Bei CVE-2019-3929 kann ein nicht authentifizierter Angreifer beliebige Shell-Befehle über die HTTP-Anfrage an den file_transfer.cgi-Endpunkt einschleusen, die dann vom System mit Root-Berechtigungen ausgeführt werden.
Mehr erfahren: CWE-78 — Improper Neutralization of Special Elements used in an OS Command (OS Command Injection)
Auswirkungsanalyse
CVE-2019-3929 ist über das Netzwerk aus der Ferne ohne jegliche Authentifizierung oder Benutzerinteraktion ausnutzbar, was sie zu einer der am einfachsten ausnutzbaren Schwachstellen in der Crestron-Produktlinie macht. Die Command Injection über den file_transfer.cgi-Endpunkt bietet sofortige Befehlsausführung auf Root-Ebene und gewährt dem Angreifer vollständige Kontrolle über das betroffene Gerät. Da Crestron-Produkte typischerweise in Konferenzräumen, Gebäudeautomationssystemen und AV-Umgebungen in Unternehmens- und Regierungseinrichtungen eingesetzt werden, kann ein kompromittiertes Gerät als Pivot-Punkt für laterale Bewegung in interne Netzwerke dienen. Das EPSS-Perzentil von etwa 99,96 % weist auf nahezu sichere Ausnutzungsaktivität hin, und der nicht authentifizierte Root-Zugriff macht diese Schwachstelle außergewöhnlich gefährlich.
Exploit-Reifegrad
Die CISA hat die aktive Ausnutzung von CVE-2019-3929 bestätigt, indem sie die Schwachstelle in den KEV-Katalog mit einer Behebungsfrist bis zum 6. Mai 2022 aufgenommen hat. Das EPSS-Perzentil von etwa 99,96 % deutet auf nahezu sichere Ausnutzungsaktivität hin und platziert diese unter den am meisten ausgenutzten IoT/AV-Geräteschwachstellen. Die triviale Natur der Ausnutzung, die lediglich eine einzelne nicht authentifizierte HTTP-Anfrage zur Erlangung von Root-Befehlsausführung erfordert, kombiniert mit der weiten Verbreitung von Crestron-Produkten in Unternehmensumgebungen, macht diese Schwachstelle zu einem hochwertigen Ziel.
Behebung
-
Crestron-Firmware-Updates sofort anwenden, wie von der CISA gefordert: „Apply updates per vendor instructions.“ Aktualisieren Sie alle betroffenen Crestron-Produkte auf Firmware-Versionen, die die Command-Injection-Schwachstelle im file_transfer.cgi-Endpunkt beheben.
-
Crestron-Geräte in dedizierten Netzwerksegmenten isolieren, getrennt von der IT-Unternehmensinfrastruktur. Platzieren Sie alle AV- und Gebäudeautomationsgeräte in VLANs mit strikten Access Control Lists (ACLs), die eine direkte Kommunikation mit sensiblen internen Netzwerken verhindern.
-
Direkten Internetzugang zu Crestron-Geräten blockieren und sicherstellen, dass der file_transfer.cgi-Endpunkt und andere Management-Interfaces nicht von nicht vertrauenswürdigen Netzwerken aus erreichbar sind. Setzen Sie Firewall-Regeln ein, um den Zugriff auf Crestron-Management-Ports auf autorisierte Administrator-IP-Adressen zu beschränken.
-
Umgebung auf exponierte Crestron-Geräte auditieren mithilfe von Schwachstellen-Scanning-Tools und Internet-Asset-Discovery. Prüfen Sie auf Crestron-Geräte, die möglicherweise unbeabsichtigt über Port-Forwarding-Regeln, fehlkonfigurierte Firewalls oder cloudverbundene AV-Management-Plattformen dem Internet ausgesetzt sind.
-
Crestron-Geräte auf Kompromittierungsindikatoren überwachen, indem Geräteprotokolle auf verdächtige HTTP-Anfragen an den file_transfer.cgi-Endpunkt, unerwartete Befehlsausführung und Anzeichen nicht autorisierten Zugriffs überprüft werden. Implementieren Sie Netzwerküberwachung zur Erkennung ungewöhnlicher Verkehrsmuster zu und von Crestron-Equipment.
Technische Details
CVE-2019-3929 ist eine OS-Command-Injection-Schwachstelle (CWE-78) in mehreren Crestron-Produkten, die nicht authentifizierte Remote-Code-Execution über den HTTP-Endpunkt file_transfer.cgi ermöglicht. Die Schwachstelle existiert, weil das CGI-Skript HTTP-Anfrageparameter verarbeitet, ohne sie ordnungsgemäß zu bereinigen, bevor sie an Betriebssystem-Shell-Befehle übergeben werden. Ein Angreifer kann beliebige Befehle einschleusen, indem Shell-Metazeichen (wie Semikolons, Pipes oder Command-Substitution-Syntax) in die HTTP-Anfrageparameter eingefügt werden, die dann von der System-Shell mit Root-Berechtigungen interpretiert und ausgeführt werden. Der Angriff erfordert lediglich eine einzelne HTTP-Anfrage an den verwundbaren Endpunkt, ohne Authentifizierung, ohne besondere Bedingungen und ohne Benutzerinteraktion.
Häufig gestellte Fragen
Wird CVE-2019-3929 aktiv ausgenutzt?
Ja, CVE-2019-3929 wird aktiv ausgenutzt. Die CISA hat diese Schwachstelle in den KEV-Katalog mit einer Behebungsfrist bis zum 6. Mai 2022 aufgenommen. Das EPSS-Perzentil von etwa 99,96 % bestätigt nahezu sichere Ausnutzungsaktivität.
Welche Produkte sind von CVE-2019-3929 betroffen?
CVE-2019-3929 betrifft mehrere Crestron-Produkte, die den verwundbaren file_transfer.cgi-Endpunkt beinhalten. Crestron-Geräte werden häufig als audiovisuelle und Gebäudeautomationssteuerungen in Unternehmens-, Regierungs- und Bildungsumgebungen eingesetzt.
Wie behebe ich CVE-2019-3929?
Wenden Sie Crestron-Firmware-Updates an, die die Command-Injection-Schwachstelle beheben. Isolieren Sie Crestron-Geräte in dedizierten Netzwerksegmenten, blockieren Sie den Internetzugang zu Management-Interfaces und auditieren Sie Ihre Umgebung auf exponierte Geräte.
Wie schwerwiegend ist CVE-2019-3929?
CVE-2019-3929 ist eine äußerst schwerwiegende Schwachstelle mit einem EPSS-Perzentil von etwa 99,96 %. Die Command Injection ermöglicht nicht authentifizierte Remote-Code-Execution auf Root-Ebene über eine einfache HTTP-Anfrage, was eine triviale Ausnutzung zur vollständigen Gerätekompromittierung und potenziellem Netzwerk-Pivoting ermöglicht.
Hilfe beim Schwachstellenmanagement?
Unsere Sicherheitsexperten helfen Ihnen bei der Priorisierung und Behebung von Schwachstellen.