CVE-2020-1147
Microsoft .NET Framework, SharePoint, and Visual Studio Remote Code Execution Vulnerability
Beschreibung
CVE-2020-1147 ist eine hochgradige Sicherheitslücke zur Remotecodeausführung, die Microsoft .NET Framework, Microsoft SharePoint und Visual Studio betrifft. Die Schwachstelle entsteht, wenn die Software die Quellmarkierung von XML-Dateieingaben nicht überprüft, wodurch ein Angreifer beliebigen Code im Kontext des für die Deserialisierung des XML-Inhalts verantwortlichen Prozesses ausführen kann. CISA hat diese Schwachstelle in den Katalog der bekannten ausgenutzten Sicherheitslücken (KEV) aufgenommen und bestätigt damit die aktive Ausnutzung in freier Wildbahn. Mit einem EPSS-Score von 93,43 % (99,8. Perzentil) weist CVE-2020-1147 eine außergewöhnlich hohe Ausnutzungswahrscheinlichkeit auf, und mehrere öffentliche Exploits sind verfügbar, die auf SharePoint-Server-Bereitstellungen abzielen.
KEV-Informationen
CVSS-Score
CVSS:3.1/AV:L/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:HIm Rechner öffnenBetroffene Produkte
| Hersteller | Produkt | Version |
|---|---|---|
| microsoft | .net core | 2.1; 3.1 |
| microsoft | .net framework | 2.0; 3.0; 3.5; 4.6.2; 4.7; 4.7.1; 4.7.2; 4.6; 4.6.1; 4.8; 3.5.1; 4.5.2 |
| microsoft | sharepoint enterprise server | 2013; 2016 |
| microsoft | sharepoint server | 2010; 2019 |
| microsoft | visual studio 2017 | >= 15.0, <= 15.9 |
| microsoft | visual studio 2019 | >= 16.0, <= 16.6 |
Mehrere CVSS-Bewertungen
CVSS:3.1/AV:L/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H
CVSS:3.1/AV:L/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H
Referenzen
- http://packetstormsecurity.com/files/158694/SharePoint-DataSet-DataTable-Deserialization.html(Exploit, Third Party Advisory, VDB Entry)
- http://packetstormsecurity.com/files/158876/Microsoft-SharePoint-Server-2019-Remote-Code-Execution.html(Exploit, Third Party Advisory, VDB Entry)
- http://packetstormsecurity.com/files/163644/Microsoft-SharePoint-Server-2019-Remote-Code-Execution.html(Exploit, Third Party Advisory, VDB Entry)
- https://portal.msrc.microsoft.com/en-US/security-guidance/advisory/CVE-2020-1147(Patch, Vendor Advisory)
- https://www.exploitalert.com/view-details.html?id=35992(Exploit, Third Party Advisory)
- https://www.cisa.gov/known-exploited-vulnerabilities-catalog?field_cve=CVE-2020-1147(US Government Resource)
Schwachstellentyp
Unsachgemäße Validierung von XML-Eingaben
CVE-2020-1147 betrifft die unsachgemäße Validierung von XML-Dateieingaben im DataSet- und DataTable-Deserialisierungsprozess des .NET Frameworks. Wenn die Software die Quellmarkierung von XML-Daten nicht überprüft, kann ein Angreifer ein bösartiges XML-Dokument erstellen, das bei der Verarbeitung durch die Anwendung zur Ausführung beliebigen Codes führt. Dies betrifft jede .NET-Anwendung, die DataSet oder DataTable zur Deserialisierung von XML verwendet, einschließlich SharePoint Server und Visual Studio.
Mehr erfahren: CVE-2020-1147 — Microsoft Security Advisory
Auswirkungsanalyse
CVE-2020-1147 weist einen CVSS-3.1-Score von 7,8 (HOCH) auf, was eine ernsthafte Bedrohung über eine breite Angriffsfläche darstellt, die .NET Framework, SharePoint Server und Visual Studio umfasst. Der Angriff erfordert lokalen Zugriff und Benutzerinteraktion (z. B. das Öffnen eines bösartigen XML-Dokuments), aber die geringe Angriffskomplexität macht die Ausnutzung unkompliziert, sobald ein Benutzer dazu gebracht wird, die manipulierte Datei zu verarbeiten. Vertraulichkeit (Hoch): Ein Angreifer erhält Zugriff auf alle Daten, die dem XML-Deserialisierungsprozess zugänglich sind, was auf SharePoint-Servern E-Mail-Daten, Dokumente und Anmeldedaten umfasst. Integrität (Hoch): Eine erfolgreiche Ausnutzung ermöglicht die Änderung von Anwendungsdaten, die Installation von Web-Shells und die Manipulation von Systemkonfigurationen. Verfügbarkeit (Hoch): Eine vollständige Prozesskompromittierung kann zu Dienstunterbrechungen und Systeminstabilität führen. Der EPSS-Score von 93,43 % im 99,8. Perzentil platziert diese Schwachstelle unter den am wahrscheinlichsten ausgenutzten, und die Breite der betroffenen Produkte über .NET Framework, SharePoint und Visual Studio verstärkt das organisatorische Risiko erheblich.
Exploit-Reifegrad
CVE-2020-1147 verfügt über eine hochentwickelte Exploit-Landschaft mit mehreren verfügbaren öffentlichen Exploits. Öffentlicher Exploit-Code ist verfügbar über Packet Storm Security, einschließlich eines SharePoint DataSet/DataTable Deserialization Exploits und eines Microsoft SharePoint Server 2019 Remote Code Execution Exploits. Zusätzlicher Exploit-Code ist bei ExploitAlert verfügbar. CISA hat die aktive Ausnutzung in freier Wildbahn bestätigt, indem diese Schwachstelle in den KEV-Katalog aufgenommen wurde, mit einer Behebungsfrist bis zum 03.05.2022. Der EPSS-Score von 93,43 % (99,8. Perzentil) deutet auf nahezu sichere Ausnutzungsaktivität bei exponierten Systemen hin.
Behebung
- Herstellerpatches sofort anwenden gemäß CISA-KEV-Vorgabe: Updates gemäß Herstelleranweisungen durchführen. Microsoft hat Sicherheitsupdates für alle betroffenen Produkte veröffentlicht.
- Alle betroffenen Produkte auf gepatchte Versionen aktualisieren: .NET Core 2.1 und 3.1, .NET Framework 2.0 bis 4.8 (einschließlich 3.0, 3.5, 3.5.1, 4.5.2, 4.6, 4.6.1, 4.6.2, 4.7, 4.7.1, 4.7.2), SharePoint Enterprise Server 2013 und 2016, SharePoint Server 2010 und 2019 sowie Visual Studio 2017 (15.0-15.9) und 2019 (16.0-16.6).
- Falls ein sofortiges Patching nicht möglich ist, strikte Eingabevalidierung auf allen Endpunkten implementieren, die XML-Daten verarbeiten. DataSet- und DataTable-XML-Deserialisierung in benutzerdefinierten .NET-Anwendungen deaktivieren oder einschränken. Web Application Firewall (WAF)-Regeln zum Filtern bösartiger XML-Payloads anwenden, die auf SharePoint-Endpunkte abzielen.
- Anwendungs- und IIS-Protokolle auf Anzeichen von XML-Deserialisierungsangriffen überwachen, einschließlich ungewöhnlicher DataSet/DataTable-Verarbeitungsmuster, verdächtiger XML-Datei-Uploads auf SharePoint und unerwarteter Prozesserstellung durch w3wp.exe oder SharePoint-Arbeitsprozesse.
- Defense-in-Depth-Maßnahmen implementieren, einschließlich Netzwerksegmentierung für SharePoint-Server, Einschränkung der Datei-Upload-Funktionen auf vertrauenswürdige Benutzer und regelmäßige Sicherheitsüberprüfungen von .NET-Anwendungen, die externe XML-Eingaben verarbeiten.
Technische Details
CVE-2020-1147 zielt auf den XML-Deserialisierungsmechanismus in den DataSet- und DataTable-Klassen des .NET Frameworks ab. Wenn diese Klassen zur Deserialisierung von XML-Daten aus einer nicht vertrauenswürdigen Quelle verwendet werden, kann ein Angreifer bösartige Typinformationen in die XML-Markierung einbetten, die die .NET-Laufzeit veranlassen, beliebige Typen während der Deserialisierung zu instanziieren, was zur Remotecodeausführung führt. Der CVSS-Vektor (CVSS:3.1/AV:L/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H) zeigt, dass der Angriff lokalen Zugriff mit Benutzerinteraktion erfordert, wie das Öffnen eines manipulierten Dokuments oder das Navigieren zu einer Seite, die das bösartige XML verarbeitet. Die Schwachstelle betrifft eine breite Palette von Microsoft-Produkten, da die zugrunde liegende DataSet/DataTable-Deserialisierung eine Kernfunktion des .NET Frameworks ist, die in SharePoint Server, Visual Studio und benutzerdefinierten .NET-Anwendungen verwendet wird.
Häufig gestellte Fragen
Wird CVE-2020-1147 aktiv ausgenutzt?
Ja. CVE-2020-1147 ist im CISA-Katalog der bekannten ausgenutzten Sicherheitslücken (KEV) gelistet, was die aktive Ausnutzung in freier Wildbahn bestätigt. Mehrere öffentliche Exploits sind verfügbar, und der EPSS-Score von 93,43 % (99,8. Perzentil) deutet auf nahezu sichere Ausnutzungsaktivität hin.
Welche Produkte sind betroffen?
CVE-2020-1147 betrifft eine breite Palette von Microsoft-Produkten: .NET Core 2.1 und 3.1, .NET Framework 2.0 bis 4.8, SharePoint Enterprise Server 2013 und 2016, SharePoint Server 2010 und 2019 sowie Visual Studio 2017 (15.0-15.9) und 2019 (16.0-16.6).
Wie behebe ich CVE-2020-1147?
Die von Microsoft bereitgestellten Sicherheitsupdates für alle betroffenen Produkte anwenden. Sicherstellen, dass alle .NET-Framework-, SharePoint-Server- und Visual-Studio-Installationen auf die neuesten gepatchten Versionen aktualisiert werden. Falls ein sofortiges Patching nicht möglich ist, XML-Deserialisierungsfähigkeiten einschränken und WAF-Regeln zum Filtern bösartiger XML-Eingaben implementieren.
Wie schwerwiegend ist CVE-2020-1147?
CVE-2020-1147 hat einen CVSS-3.1-Score von 7,8 (HOCH). Der EPSS-Score von 93,43 % platziert die Schwachstelle im 99,8. Perzentil, was bedeutet, dass sie zu den am wahrscheinlichsten ausgenutzten Schwachstellen gehört. Die Breite der betroffenen Produkte über .NET Framework, SharePoint und Visual Studio verstärkt das organisatorische Risiko erheblich.
Hilfe beim Schwachstellenmanagement?
Unsere Sicherheitsexperten helfen Ihnen bei der Priorisierung und Behebung von Schwachstellen.