CVE-2020-15505
Ivanti MobileIron Multiple Products Remote Code Execution Vulnerability
Beschreibung
CVE-2020-15505 ist eine KRITISCHE Remote-Code-Execution-Schwachstelle in mehreren Ivanti-MobileIron-Produkten mit einem CVSS 3.1-Score von 9.8. Die Schwachstelle betrifft MobileIron Core & Connector (Versionen 10.3.0.3 und früher, 10.4.x, 10.5.x, 10.6.0.0), Sentry (Versionen 9.7.2 und früher, 9.8.0) sowie Monitor and Reporting Database (Version 2.0.0.1 und früher). Klassifiziert unter CWE-706 ermöglicht dieser Fehler nicht authentifizierten Remote-Angreifern die Ausführung beliebigen Codes über unspezifizierte Vektoren. Keine Authentifizierung und keine Benutzerinteraktion sind erforderlich, was diese Schwachstelle trivial ausnutzbar macht. CISA hat CVE-2020-15505 am 3. November 2021 in den KEV-Katalog aufgenommen. Der EPSS-Score von 0.94330 (99.95. Perzentil) weist auf eine extrem hohe Ausnutzungswahrscheinlichkeit hin.
KEV-Informationen
CVSS-Score
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:HIm Rechner öffnenCWEs
Betroffene Produkte
| Hersteller | Produkt | Version |
|---|---|---|
| mobileiron | core | < 10.3.0.4; >= 10.4.0.0, < 10.4.0.4; >= 10.5.1.0, < 10.5.1.1; >= 10.5.2.0, < 10.5.2.1; >= 10.6.0.0, < 10.6.0.1 |
| mobileiron | enterprise connector | < 10.3.0.4; >= 10.4.0.0, < 10.4.0.4; >= 10.5.1.0, < 10.5.1.1; >= 10.5.2.0, < 10.5.2.1; >= 10.6.0.0, < 10.6.0.1 |
| mobileiron | monitor and reporting database | < 2.0.0.2 |
| mobileiron | sentry | >= 9.7.0, < 9.7.3; >= 9.8.0, < 9.8.1 |
Mehrere CVSS-Bewertungen
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
Referenzen
- http://packetstormsecurity.com/files/161097/MobileIron-MDM-Hessian-Based-Java-Deserialization-Remote-Code-Execution.html(Exploit, Third Party Advisory, VDB Entry)
- https://cwe.mitre.org/data/definitions/41.html(Third Party Advisory)
- https://perchsecurity.com/perch-news/cve-spotlight-mobileiron-rce-cve-2020-15505/(Exploit, Third Party Advisory)
- https://www.mobileiron.com/en/blog/mobileiron-security-updates-available(Vendor Advisory)
- https://www.cisa.gov/known-exploited-vulnerabilities-catalog?field_cve=CVE-2020-15505(US Government Resource)
Schwachstellentyp
CWE-706: Verwendung fehlerhaft aufgelöster Namen oder Referenzen
Die Verwendung fehlerhaft aufgelöster Namen oder Referenzen tritt auf, wenn ein Produkt einen Namen oder eine Referenz verwendet, um auf eine Ressource zuzugreifen, aber dieser Name zu einer Ressource aufgelöst wird, die außerhalb des beabsichtigten Kontrollbereichs liegt. Dies ermöglicht Angreifern zu manipulieren, wie Referenzen aufgelöst werden, wodurch die Anwendung vom Angreifer kontrollierte Ressourcen lädt oder ausführt anstelle legitimer Ressourcen.
Im Kontext von CVE-2020-15505 enthalten die Ivanti-MobileIron-Produkte eine Schwachstelle in Bezug darauf, wie bestimmte Ressourcenreferenzen oder Namen während der Anfrageverarbeitung aufgelöst werden. Angreifer nutzen diesen fehlerhaften Auflösungsmechanismus aus, um beliebigen Code auf dem Server einzuschleusen und auszuführen. Der Hessian-basierte Java-Deserialisierungsmechanismus in MobileIron wurde als zentraler Angriffsvektor identifiziert, bei dem unsachgemäß aufgelöste Klassenreferenzen während der Deserialisierung Angreifern ermöglichen, bösartige Objekte zu instanziieren, was zu Remote-Code-Execution mit den Privilegien der MobileIron-Anwendung führt.
Mehr erfahren: CWE-706 — Verwendung fehlerhaft aufgelöster Namen oder Referenzen
Auswirkungsanalyse
CVE-2020-15505 hat einen CVSS 3.1-Score von 9.8 (KRITISCH) mit unverändertem Scope.
Vertraulichkeit (HOCH): Erfolgreiche Ausnutzung gewährt dem Angreifer vollen Zugriff auf den MobileIron-Server und exponiert alle verwalteten Mobilgerätedaten einschließlich Gerätekonfigurationen, Unternehmens-E-Mail, Enterprise-Anwendungsdaten, VPN-Anmeldedaten, Zertifikate und Benutzerinformationen aller registrierten Geräte. MobileIron-MDM-Server verwalten typischerweise Tausende von Unternehmens-Mobilgeräten.
Integrität (HOCH): Mit Codeausführung auf dem MDM-Server können Angreifer Geräterichtlinien ändern, bösartige Konfigurationen an registrierte Geräte pushen, unbefugte Anwendungen auf verwalteten Geräten installieren, Compliance-Richtlinien manipulieren und Audit-Logs fälschen. Die Fähigkeit, Konfigurationen an registrierte Geräte zu pushen, verstärkt die Integritätsauswirkung erheblich.
Verfügbarkeit (HOCH): Angreifer können den Mobile-Device-Management-Dienst vollständig deaktivieren, die Geräteregistrierung und Richtliniendurchsetzung stören, Sicherheitsupdates an verwaltete Geräte verhindern und die gesamte MDM-Infrastruktur funktionsunfähig machen.
Scope unverändert: Obwohl der CVSS-Scope unverändert ist, erstreckt sich die praktische Auswirkung weit über den MobileIron-Server selbst hinaus. Ein kompromittierter MDM-Server gibt dem Angreifer Kontrolle über alle registrierten Mobilgeräte und Zugang zu sensiblen Unternehmensdaten.
Mit einem EPSS-Score von 0.94330 (99.95. Perzentil) gehört diese Schwachstelle zu den Top 0,05% aller CVEs hinsichtlich der Ausnutzungswahrscheinlichkeit.
Exploit-Reifegrad
CVE-2020-15505 hat bestätigte aktive Ausnutzung in freier Wildbahn und ist im KEV-Katalog der CISA gelistet.
Exploit-Status: Diese Schwachstelle wird aktiv von mehreren Bedrohungsakteursgruppen ausgenutzt, einschließlich staatlicher Akteure. Ein vollständiger Remote-Code-Execution-Exploit, der Hessian-basierte Java-Deserialisierung nutzt, ist öffentlich über Packet Storm Security verfügbar. Der Exploit erfordert keine Authentifizierung, wodurch jede internetexponierte MobileIron-Instanz sofort anfällig ist.
Ransomware-Assoziation: Nach den aktuellen KEV-Daten wurde keine direkte Ransomware-Kampagne öffentlich CVE-2020-15505 zugeschrieben. Die unauthentifizierte RCE-Fähigkeit und der hohe Wert der MDM-Infrastruktur machen sie jedoch zu einem attraktiven Ziel für Ransomware-Betreiber.
Angriffsfläche: Ivanti-MobileIron-Produkte sind in Unternehmen, Regierungsbehörden und Organisationen, die Unternehmens-Mobilgeräte verwalten, weit verbreitet. MDM-Server sind häufig aus dem Internet erreichbar, um Remote-Geräteregistrierung und -verwaltung zu unterstützen, was die Angriffsfläche erheblich erweitert. APT-Gruppen wurden dokumentiert, die MobileIron-Schwachstellen für Spionage und Netzwerkzugang ausnutzen.
KEV-Frist: CISA verlangte von Bundesbehörden die Behebung bis zum 3. Mai 2022. Der EPSS-Score von 0.94330 (99.95. Perzentil) und die bestätigte APT-Ausnutzung unterstreichen die kritische Dringlichkeit.
Behebung
- Ivanti-MobileIron-Patches sofort anwenden. Aktualisieren Sie alle MobileIron Core-, Connector-, Sentry- und Monitor-and-Reporting-Database-Instanzen auf die neuesten gepatchten Versionen. Konsultieren Sie das MobileIron-Sicherheitsadvisory für spezifische Versionsanleitungen.
- Netzwerkzugriff auf MobileIron-Management-Interfaces einschränken. Während die Geräteverwaltungsports möglicherweise zugänglich bleiben müssen, beschränken Sie den Zugriff auf administrative Interfaces auf vertrauenswürdige Netzwerke. Implementieren Sie IP-basierte Zugriffskontrollen und erwägen Sie, Management-Interfaces hinter einem VPN zu platzieren.
- Sofort auf Kompromittierungsindikatoren scannen. Angesichts der bestätigten aktiven Ausnutzung durch fortgeschrittene Bedrohungsakteure führen Sie eine gründliche forensische Untersuchung aller MobileIron-Server durch. Prüfen Sie auf unbefugte Prozesse, unerwartete Netzwerkverbindungen, modifizierte Dateien, neue Benutzerkonten und Hinweise auf laterale Bewegung.
- Verwaltete Gerätekonfigurationen und Richtlinien überprüfen. Prüfen Sie nach dem Patchen alle Geräterichtlinien, Konfigurationsprofile und registrierten Anwendungen auf unbefugte Änderungen. Stellen Sie sicher, dass keine bösartigen Profile an verwaltete Geräte gepusht wurden.
- Erweiterte Überwachung für MobileIron-Infrastruktur implementieren. Setzen Sie Netzwerküberwachung, Log-Aggregation und Intrusion Detection ein, die speziell auf MobileIron-Verkehrsmuster ausgerichtet sind. Überwachen Sie ungewöhnliche API-Aufrufe, Konfigurationsänderungen und Registrierungsaktivitäten.
- Notwendigkeit eines Server-Neuaufbaus bewerten. Bei jeglichen Anzeichen einer Kompromittierung erwägen Sie einen vollständigen Neuaufbau des MobileIron-Servers von vertrauenswürdigen Medien, anstatt sich ausschließlich auf das Patchen zu verlassen, da fortgeschrittene Angreifer möglicherweise persistente Zugriffsmechanismen etabliert haben.
Technische Details
CVE-2020-15505 ist eine KRITISCHE Schwachstelle in mehreren Ivanti-MobileIron-Produkten, die remote über das Netzwerk ohne jegliche Authentifizierung oder Benutzerinteraktion ausgenutzt werden kann. Die Angriffskomplexität ist niedrig, es sind keine speziellen Bedingungen erforderlich.
Technischer Mechanismus: MobileIron Core und verwandte Produkte exponieren Web-Services, die serialisierte Java-Objekte unter Verwendung des Hessian-Serialisierungsprotokolls verarbeiten. Die Schwachstelle besteht darin, wie die Anwendung Klassenreferenzen während der Deserialisierung eingehender Anfragen auflöst. Ein Angreifer kann eine bösartige Hessian-serialisierte Payload erstellen, die Referenzen auf gefährliche Java-Klassen enthält, die bei der Deserialisierung beliebige Codeausführung auf dem Server auslösen. Die Deserialisierung erfolgt vor jeder Authentifizierungsprüfung, was vollständig unauthentifizierte Ausnutzung ermöglicht. Die bösartige Payload wird mit den Privilegien des MobileIron-Anwendungsprozesses ausgeführt.
CVSS 3.1-Vektoranalyse: Der Vektor CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H repräsentiert das gefährlichste Ausnutzungsprofil: netzwerkzugänglich mit niedriger Komplexität, keine Authentifizierung und keine Benutzerinteraktion erforderlich. Die dreifach-HOCH-Impact-Bewertungen über Vertraulichkeit, Integrität und Verfügbarkeit reflektieren die Fähigkeit zur vollständigen Systemkompromittierung. Der Exploitability-Score von 3.9 (Maximum) bestätigt die triviale Natur der Ausnutzung.
Häufig gestellte Fragen
Wird CVE-2020-15505 aktiv ausgenutzt?
Ja, CVE-2020-15505 wird aktiv in freier Wildbahn von mehreren Bedrohungsakteursgruppen einschließlich staatlicher Akteure ausgenutzt. Sie ist im KEV-Katalog der CISA gelistet. Der EPSS-Score von 0.94330 (99.95. Perzentil) platziert sie unter den am häufigsten ausgenutzten Schwachstellen. Öffentlicher Exploit-Code für Hessian-basierte Java-Deserialisierung-RCE ist verfügbar.
Welche Produkte sind von CVE-2020-15505 betroffen?
Betroffene Produkte umfassen MobileIron Core & Connector Versionen 10.3.0.3 und früher, 10.4.0.0 bis 10.4.0.3, 10.5.1.0, 10.5.2.0 und 10.6.0.0; Sentry Versionen 9.7.2 und früher sowie 9.8.0; und Monitor and Reporting Database Version 2.0.0.1 und früher. Diese Produkte werden jetzt unter der Marke Ivanti geführt.
Wie behebe ich CVE-2020-15505?
Wenden Sie Updates gemäß den Herstelleranweisungen aus Ivantis Sicherheitsadvisory an. Aktualisieren Sie MobileIron Core, Connector, Sentry und RDB auf gepatchte Versionen. Beschränken Sie den Zugriff auf administrative Interfaces, führen Sie eine forensische Untersuchung auf Kompromittierungsanzeichen durch und überprüfen Sie alle verwalteten Geräterichtlinien auf unbefugte Änderungen.
Wie schwerwiegend ist CVE-2020-15505?
CVE-2020-15505 wird als KRITISCH mit einem CVSS 3.1-Score von 9.8 eingestuft, dem nahezu maximalen Schweregrad. Die Schwachstelle erfordert keine Authentifizierung und keine Benutzerinteraktion und ermöglicht jedem netzwerkzugänglichen Angreifer Remote-Code-Execution auf dem MobileIron-Server. Die Kompromittierung eines MDM-Servers bietet Kontrolle über alle verwalteten Mobilgeräte.
Hilfe beim Schwachstellenmanagement?
Unsere Sicherheitsexperten helfen Ihnen bei der Priorisierung und Behebung von Schwachstellen.