CVE-2020-17519
Apache Flink Improper Access Control Vulnerability
Beschreibung
CVE-2020-17519 ist eine Path-Traversal-Schwachstelle in Apache Flink, die es einem nicht authentifizierten Angreifer ermoeglicht, beliebige Dateien ueber die REST-Schnittstelle des JobManagers auszulesen. Die Schwachstelle wurde in Apache Flink 1.11.0 eingefuehrt und betrifft auch die Versionen 1.11.1 und 1.11.2. Mit einem CVSS-Score von 7.5 (HIGH) und einem EPSS-Score von 94,38 % (100,0. Perzentil) gehoert diese Schwachstelle zu den am aktivsten ausgenutzten Sicherheitsluecken. Die CISA hat CVE-2020-17519 in den KEV-Katalog aufgenommen, mit einer Behebungsfrist bis zum 13. Juni 2024.
KEV-Informationen
CVSS-Score
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:NIm Rechner öffnenCWEs
Betroffene Produkte
| Hersteller | Produkt | Version |
|---|---|---|
| apache | flink | >= 1.11.0, < 1.11.3 |
Mehrere CVSS-Bewertungen
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:H
Referenzen
- http://packetstormsecurity.com/files/160849/Apache-Flink-1.11.0-Arbitrary-File-Read-Directory-Traversal.html(Exploit, Third Party Advisory, VDB Entry)
- http://www.openwall.com/lists/oss-security/2021/01/05/2(Mailing List, Third Party Advisory)
- https://lists.apache.org/thread.html/r0a433be10676f4fe97ca423d08f914e0ead341c901216f292d2bbe83%40%3Cissues.flink.apache.org%3E(Mailing List)
- https://lists.apache.org/thread.html/r1125f3044a0946d1e7e6f125a6170b58d413ebd4a95157e4608041c7%40%3Cannounce.apache.org%3E(Mailing List)
- https://lists.apache.org/thread.html/r229167538863518738e02f4c1c5a8bb34c1d45dadcc97adf6676b0c1%40%3Cdev.flink.apache.org%3E(Issue Tracking)
- https://lists.apache.org/thread.html/r26fcdd4fe288323006253437ebc4dd6fdfadfb5e93465a0e4f68420d%40%3Cuser-zh.flink.apache.org%3E(Issue Tracking)
- https://lists.apache.org/thread.html/r28f17e564950d663e68cc6fe75756012dda62ac623766bb9bc5e7034%40%3Cissues.flink.apache.org%3E(Issue Tracking)
- https://lists.apache.org/thread.html/r2fc60b30557e4a537c2a6293023049bd1c49fd92b518309aa85a0398%40%3Cissues.flink.apache.org%3E(Issue Tracking)
- https://lists.apache.org/thread.html/r4e1b72bfa789ea5bc20b8afe56119200ed25bdab0eb80d664fa5bfe2%40%3Cdev.flink.apache.org%3E(Mailing List, Vendor Advisory)
- https://lists.apache.org/thread.html/r6843202556a6d0bce9607ebc02e303f68fc88e9038235598bde3b50d%40%3Cannounce.apache.org%3E(Mailing List, Vendor Advisory)
- https://lists.apache.org/thread.html/r6843202556a6d0bce9607ebc02e303f68fc88e9038235598bde3b50d%40%3Cdev.flink.apache.org%3E(Mailing List, Vendor Advisory)
- https://lists.apache.org/thread.html/r6843202556a6d0bce9607ebc02e303f68fc88e9038235598bde3b50d%40%3Cuser.flink.apache.org%3E(Issue Tracking)
- https://lists.apache.org/thread.html/r88b55f3ebf1f8f4e1cc61f030252aaef4b77060b56557a243abb92a1%40%3Cissues.flink.apache.org%3E(Mailing List, Vendor Advisory)
- https://lists.apache.org/thread.html/r88f427865fb6aa6e6378efe07632a1906b430365e15e3b9621aabe1d%40%3Cissues.flink.apache.org%3E(Mailing List, Vendor Advisory)
- https://lists.apache.org/thread.html/r90890afea72a9571d666820b2fe5942a0a5f86be406fa31da3dd0922%40%3Cannounce.apache.org%3E(Mailing List, Not Applicable)
- https://lists.apache.org/thread.html/ra8c96bf3ccb4e491f9ce87ba35f134b4449beb2a38d1ce28fd89001f%40%3Cdev.flink.apache.org%3E(Issue Tracking)
- https://www.cisa.gov/known-exploited-vulnerabilities-catalog?field_cve=CVE-2020-17519(US Government Resource)
Schwachstellentyp
Fuer CVE-2020-17519 ist kein spezifischer CWE-Typ im NVD eingetragen. Basierend auf der Schwachstellenbeschreibung handelt es sich um eine Path-Traversal-Schwachstelle zum Lesen beliebiger Dateien.
CWE-22: Improper Limitation of a Pathname to a Restricted Directory ('Path Traversal')
CWE-22 (Path Traversal) beschreibt eine Schwachstellenklasse, bei der eine Anwendung vom Benutzer bereitgestellte Pfadangaben nicht ausreichend validiert, sodass ein Angreifer auf Dateien ausserhalb des vorgesehenen Verzeichnisses zugreifen kann. Im Fall von CVE-2020-17519 ermoeglicht die unzureichende Validierung von Dateipfaden in der REST-Schnittstelle des Apache Flink JobManagers das Lesen beliebiger Dateien vom lokalen Dateisystem. Der Zugriff ist auf Dateien beschraenkt, die vom JobManager-Prozess lesbar sind. Mehr erfahren
Auswirkungsanalyse
Exfiltration sensibler Konfigurationsdaten: Die Auswirkungen konzentrieren sich auf die Vertraulichkeit. Vertraulichkeit (C:H) bedeutet, dass ein Angreifer beliebige Dateien vom JobManager-Server lesen kann, darunter Konfigurationsdateien mit Datenbank-Zugangsdaten, API-Schluessel, Anwendungsdaten und Systemdateien wie /etc/passwd. Integritaet (I:N) und Verfuegbarkeit (A:N) sind nicht direkt betroffen, da es sich um einen reinen Lesezugriff handelt.
Triviale Ausnutzung ohne Authentifizierung: Der CVSS-Vektor zeigt einen netzwerkbasierten Angriff (AV:N) mit niedriger Komplexitaet (AC:L), der keine Authentifizierung (PR:N) und keine Benutzerinteraktion (UI:N) erfordert. Jede Apache-Flink-Instanz, deren REST-Schnittstelle ueber das Netzwerk erreichbar ist, ist potenziell verwundbar.
EPSS und Ransomware: Der EPSS-Score von 94,38 % (100,0. Perzentil) ist extrem hoch und zeigt, dass CVE-2020-17519 zu den am aktivsten ausgenutzten Schwachstellen weltweit gehoert. Der Ransomware-Status ist als Unknown klassifiziert. Die exfiltrierten Konfigurationsdaten und Zugangsdaten koennen jedoch als Sprungbrett fuer weitergehende Angriffe dienen, einschliesslich Ransomware-Deployment auf nachgelagerten Systemen.
Exploit-Reifegrad
CVE-2020-17519 weist eine sehr hohe Exploit-Reife mit oeffentlich verfuegbaren Exploits auf. Ein vollstaendiger Exploit auf PacketStorm Security ist oeffentlich verfuegbar und ermoeglicht das einfache Auslesen beliebiger Dateien.
EPSS-Kontext: Mit einem EPSS-Score von 94,38 % (100,0. Perzentil) gehoert CVE-2020-17519 zum absoluten Spitzensegment der am wahrscheinlichsten ausgenutzten Schwachstellen. Trotz des Alters der Schwachstelle (seit 2020 bekannt) wird sie weiterhin aktiv ausgenutzt.
Oeffentliche Exploit-Informationen: Neben dem PacketStorm-Exploit wurde die Schwachstelle auf der oss-security-Mailingliste dokumentiert. Apache hat die Schwachstelle in den Flink-Mailinglisten als Vendor Advisory bestaetigt.
Ransomware-Verbindung: Der Ransomware-Status ist Unknown. Apache Flink wird haeufig in Big-Data- und Streaming-Umgebungen eingesetzt, die kritische Geschaeftsdaten verarbeiten. Die Exfiltration von Konfigurationsdaten kann den Zugang zu weiteren Systemen eroeffnen.
Behebung
- Apache Flink aktualisieren: Aktualisieren Sie Apache Flink auf Version 1.11.3 oder 1.12.0+. Der Fix wurde in beiden Versionen implementiert und behebt die unzureichende Pfadvalidierung in der REST-Schnittstelle des JobManagers.
- REST-Schnittstelle absichern: Stellen Sie sicher, dass die REST-Schnittstelle des JobManagers nicht oeffentlich erreichbar ist. Beschraenken Sie den Zugriff ueber Firewall-Regeln auf vertrauenswuerdige IP-Adressen und verwenden Sie einen Reverse-Proxy mit Authentifizierung fuer den Zugriff auf die Flink-Web-Oberflaeche.
- Netzwerksegmentierung implementieren: Platzieren Sie Apache Flink Cluster in einem isolierten Netzwerksegment. Der JobManager sollte nur von autorisierten Systemen erreichbar sein, nicht direkt aus dem Internet oder von allgemeinen Benutzerarbeitsplaetzen.
- Zugangsdaten rotieren: Wenn der JobManager oeffentlich erreichbar war, muessen alle in Konfigurationsdateien gespeicherten Zugangsdaten (Datenbankpasswoerter, API-Schluessel, Kafka-Credentials, HDFS-Tokens) sofort rotiert werden, da sie moeglicherweise bereits exfiltriert wurden.
- Monitoring und Logging aktivieren: Aktivieren Sie detailliertes Access-Logging fuer die REST-Schnittstelle und ueberwachen Sie Zugriffe auf verdaechtige Pfadmuster (z.B. Requests mit "../" oder Zugriffe auf /etc/passwd). Implementieren Sie Alerting fuer ungewoehnliche Dateizugriffe ueber die REST-API.
Technische Details
Die Schwachstelle befindet sich in der REST-Schnittstelle des Apache Flink JobManagers, die fuer die Verwaltung und Ueberwachung von Flink-Jobs verwendet wird. Eine in Apache Flink 1.11.0 eingefuehrte Aenderung hat eine Path-Traversal-Schwachstelle eroeffnet.
CVSS-Vektor im Detail: CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N - Der Angriff erfolgt netzwerkbasiert (AV:N) mit niedriger Komplexitaet (AC:L), erfordert keine Privilegien (PR:N) und keine Benutzerinteraktion (UI:N). Der Scope ist unveraendert (S:U), die Vertraulichkeitsauswirkung ist hoch (C:H), waehrend Integritaet (I:N) und Verfuegbarkeit (A:N) nicht betroffen sind.
Angriffsmechanismus: Der Apache Flink JobManager stellt eine REST-API bereit, ueber die unter anderem Job-Artefakte und Dateien abgerufen werden koennen. Durch das Einschleusen von Path-Traversal-Sequenzen (z.B. "..%252f") in die API-Anfrage kann ein Angreifer die Verzeichnisbeschraenkung umgehen und beliebige Dateien vom Dateisystem des JobManager-Servers lesen. Die doppelte URL-Kodierung (%252f statt %2f) umgeht die Standard-URL-Dekodierung und ermoeglicht den Zugriff auf Dateien ausserhalb des vorgesehenen Verzeichnisses. Der Zugriff ist auf Dateien beschraenkt, die der Prozessbenutzer des JobManagers lesen kann.
Betroffene Versionen: Apache Flink Versionen 1.11.0, 1.11.1 und 1.11.2. Die Schwachstelle wurde in Version 1.11.3 und 1.12.0 behoben.
Häufig gestellte Fragen
Warum wird CVE-2020-17519 immer noch aktiv ausgenutzt, obwohl sie seit 2020 bekannt ist?
Viele Apache Flink Installationen in Produktionsumgebungen werden nicht regelmaessig aktualisiert, insbesondere in Big-Data-Clustern, bei denen Upgrades aufwendig sind. Der extrem hohe EPSS-Score von 94,38 % reflektiert die anhaltende Verfuegbarkeit verwundbarer Instanzen im Internet und die einfache Ausnutzbarkeit der Schwachstelle.
Kann ein Angreifer ueber CVE-2020-17519 auch Dateien schreiben oder Code ausfuehren?
Nein, CVE-2020-17519 ermoeglicht ausschliesslich das Lesen von Dateien. Der Angreifer kann keine Dateien schreiben, loeschen oder Code auf dem Server ausfuehren. Allerdings koennen die ausgelesenen Informationen (Passwoerter, Konfigurationen, Schluessel) fuer weitergehende Angriffe genutzt werden.
Ist mein Flink Cluster betroffen, wenn die Web-Oberflaeche nur intern erreichbar ist?
Wenn die REST-Schnittstelle nur aus dem internen Netzwerk erreichbar ist, ist das Risiko deutlich reduziert. Ein Angreifer muesste zunaechst Zugang zum internen Netzwerk erlangen. Dennoch sollte das Update eingespielt werden, da ein Insider-Angriff oder ein kompromittiertes internes System die Schwachstelle ausnutzen koennte.
Betrifft die Schwachstelle auch Apache Flink Versionen vor 1.11.0?
Nein, die Schwachstelle wurde durch eine Aenderung in Apache Flink 1.11.0 eingefuehrt. Aeltere Versionen (1.10.x und frueher) sind von CVE-2020-17519 nicht betroffen. Dennoch sollten aeltere Versionen aktualisiert werden, da sie moeglicherweise andere bekannte Schwachstellen enthalten.
Hilfe beim Schwachstellenmanagement?
Unsere Sicherheitsexperten helfen Ihnen bei der Priorisierung und Behebung von Schwachstellen.