CVE-2020-0646
Microsoft .NET Framework Remote Code Execution Vulnerability
Beschreibung
CVE-2020-0646 ist eine kritische Sicherheitslücke zur Remotecodeausführung im Microsoft .NET Framework. Die Schwachstelle entsteht durch eine XML-Injection-Schwäche, bei der das .NET Framework Eingaben nicht ordnungsgemäß validiert, wodurch ein Angreifer beliebigen Code aus der Ferne einschleusen und ausführen kann. CISA hat diese Schwachstelle in den Katalog der bekannten ausgenutzten Sicherheitslücken (KEV) aufgenommen und bestätigt damit die aktive Ausnutzung in freier Wildbahn. Mit einem EPSS-Score von 93,87 % (99,9. Perzentil) weist CVE-2020-0646 eine außergewöhnlich hohe Ausnutzungswahrscheinlichkeit auf, weshalb eine sofortige Patching-Maßnahme für Organisationen mit betroffenen .NET-Framework-Versionen dringend erforderlich ist.
KEV-Informationen
CVSS-Score
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:HIm Rechner öffnenCWEs
Betroffene Produkte
| Hersteller | Produkt | Version |
|---|---|---|
| microsoft | .net framework | 3.0; 3.5; 4.6.2; 4.7; 4.7.1; 4.7.2; 4.8; 3.5.1; 4.5.2; 4.6; 4.6.1 |
Mehrere CVSS-Bewertungen
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
Referenzen
- http://packetstormsecurity.com/files/156930/SharePoint-Workflows-XOML-Injection.html(Exploit, Third Party Advisory, VDB Entry)
- https://portal.msrc.microsoft.com/en-US/security-guidance/advisory/CVE-2020-0646(Patch, Vendor Advisory)
- https://www.cisa.gov/known-exploited-vulnerabilities-catalog?field_cve=CVE-2020-0646(US Government Resource)
Schwachstellentyp
CWE-91: XML Injection (auch Blind XPath Injection)
XML Injection tritt auf, wenn benutzergesteuerte Eingaben unsachgemäß in XML-Abfragen oder -Dokumente eingebettet werden, wodurch ein Angreifer die Struktur und den Inhalt der XML-Daten verändern kann. Im Kontext von CVE-2020-0646 validiert das Microsoft .NET Framework Eingaben nicht ordnungsgemäß, was es einem Angreifer ermöglicht, böswillige XML-Eingaben zu erstellen, die über den SharePoint-Workflows-XOML-Injektionsvektor zur Remotecodeausführung führen.
Mehr erfahren: CWE-91 — XML Injection (auch Blind XPath Injection)
Auswirkungsanalyse
CVE-2020-0646 weist einen CVSS-3.1-Score von 9,8 (KRITISCH) auf, was die maximale Schweregradkategorie dieser Schwachstelle widerspiegelt. Die Schwachstelle ist über das Netzwerk mit geringer Angriffskomplexität ausnutzbar, erfordert keine Authentifizierung und keine Benutzerinteraktion, was sie in exponierten Umgebungen trivial ausnutzbar macht. Vertraulichkeit (Hoch): Ein erfolgreicher Exploit gewährt vollständigen Zugriff auf sensible Daten, die von der .NET-Framework-Anwendung verarbeitet werden. Integrität (Hoch): Angreifer können beliebige Daten und Code in den Anwendungskontext einschleusen oder manipulieren. Verfügbarkeit (Hoch): Die Ausnutzung kann zur vollständigen Systemkompromittierung oder einem Dienstausfall führen. Der EPSS-Score von 93,87 % im 99,9. Perzentil deutet auf nahezu sichere Ausnutzungsaktivität bei exponierten Systemen hin.
Exploit-Reifegrad
CVE-2020-0646 verfügt über eine gut etablierte Exploit-Landschaft. Öffentlicher Exploit-Code ist verfügbar über Packet Storm Security, der einen SharePoint-Workflows-XOML-Injektionsangriff demonstriert, der diese .NET-Framework-Schwachstelle ausnutzt. CISA hat die aktive Ausnutzung in freier Wildbahn bestätigt, indem diese Schwachstelle in den KEV-Katalog aufgenommen wurde, mit einer Behebungsfrist bis zum 03.05.2022. Der EPSS-Score von 93,87 % (99,9. Perzentil) deutet auf nahezu sichere Ausnutzungsaktivität hin und platziert diese Schwachstelle unter den am aktivsten angegriffenen in der aktuellen Bedrohungslandschaft.
Behebung
- Herstellerpatches sofort anwenden gemäß CISA-KEV-Vorgabe: Updates gemäß Herstelleranweisungen durchführen. Microsoft hat Sicherheitsupdates zur Behebung dieser Schwachstelle veröffentlicht.
- Alle Instanzen des Microsoft .NET Framework auf gepatchte Versionen aktualisieren. Betroffene Versionen umfassen .NET Framework 3.0, 3.5, 3.5.1, 4.5.2, 4.6, 4.6.1, 4.6.2, 4.7, 4.7.1, 4.7.2 und 4.8.
- Falls ein sofortiges Patching nicht möglich ist, den Zugriff auf SharePoint-Workflows einschränken und die XOML-basierte Workflow-Erstellung deaktivieren. Strikte Eingabevalidierungsregeln für alle .NET-Framework-Endpunkte implementieren, die XML-Daten verarbeiten.
- Anwendungsprotokolle und IIS-Protokolle auf Anzeichen von XML-Injection-Versuchen überwachen, einschließlich verdächtiger XOML-Workflow-Übermittlungen und ungewöhnlicher .NET-Serialisierungsaktivitäten.
- Defense-in-Depth-Maßnahmen implementieren, einschließlich Web Application Firewall (WAF)-Regeln zum Filtern bösartiger XML-Payloads, Netzwerksegmentierung zur Begrenzung lateraler Bewegungen und regelmäßige Sicherheitsaudits der .NET-Framework-Konfigurationen.
Technische Details
CVE-2020-0646 nutzt eine XML-Injection-Schwäche (CWE-91) in den Eingabevalidierungsmechanismen des Microsoft .NET Frameworks aus. Die Schwachstelle manifestiert sich speziell über die SharePoint-Workflows-XOML-Verarbeitungspipeline (Extensible Object Markup Language), in der vom Angreifer kontrollierte Eingaben ohne ordnungsgemäße Bereinigung in die XML-Verarbeitungslogik eingeschleust werden können. Der CVSS-Vektor (CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H) bestätigt, dass der Angriff nur Netzwerkzugang ohne Authentifizierung oder Benutzerinteraktion erfordert, was ihn zu einem bevorzugten Ziel für automatisierte Ausnutzung macht. Die Injection ermöglicht die Ausführung beliebigen Codes im Kontext des .NET-Framework-Prozesses und kann dem Angreifer die vollständige Kontrolle über den betroffenen Server gewähren.
Häufig gestellte Fragen
Wird CVE-2020-0646 aktiv ausgenutzt?
Ja. CVE-2020-0646 ist im CISA-Katalog der bekannten ausgenutzten Sicherheitslücken (KEV) gelistet, was die aktive Ausnutzung in freier Wildbahn bestätigt. Der EPSS-Score von 93,87 % (99,9. Perzentil) deutet auf nahezu sichere Ausnutzungsaktivität hin, und öffentlicher Exploit-Code ist frei verfügbar.
Welche Produkte sind betroffen?
CVE-2020-0646 betrifft Microsoft .NET Framework in den Versionen 3.0, 3.5, 3.5.1, 4.5.2, 4.6, 4.6.1, 4.6.2, 4.7, 4.7.1, 4.7.2 und 4.8 auf verschiedenen Windows-Betriebssystemen.
Wie behebe ich CVE-2020-0646?
Die von Microsoft bereitgestellten Sicherheitsupdates gemäß Herstelleranweisungen anwenden. Sicherstellen, dass alle betroffenen .NET-Framework-Installationen auf die neuesten gepatchten Versionen aktualisiert werden. Falls ein sofortiges Patching nicht möglich ist, den Zugriff auf XOML-Workflow-Verarbeitung einschränken und WAF-Regeln zum Filtern bösartiger XML-Eingaben implementieren.
Wie schwerwiegend ist CVE-2020-0646?
CVE-2020-0646 hat einen CVSS-3.1-Score von 9,8 (KRITISCH), die höchste Schweregradkategorie. Der EPSS-Score von 93,87 % platziert die Schwachstelle im 99,9. Perzentil, was bedeutet, dass sie zu den am wahrscheinlichsten ausgenutzten Schwachstellen gehört. Eine sofortige Behebung wird dringend empfohlen.
Hilfe beim Schwachstellenmanagement?
Unsere Sicherheitsexperten helfen Ihnen bei der Priorisierung und Behebung von Schwachstellen.