CVE-2020-17530
Apache Struts Remote Code Execution Vulnerability
Beschreibung
CVE-2020-17530 ist eine KRITISCHE Schwachstelle in Apache Struts mit einem CVSS 3.1-Score von 9.8. Forced OGNL evaluation in Apache Struts, when evaluated on raw user input in tag attributes, can lead to remote code execution. Betroffene Produkte umfassen Apache Struts (>= 2.0.0, < 2.5.30), Oracle Business Intelligence (12.2.1.3.0; 12.2.1.4.0), Oracle MySQL Enterprise Monitor (8.0.23). Diese CVE ist im CISA Known Exploited Vulnerabilities (KEV)-Katalog mit einer Behebungsfrist bis 2022-05-03 gelistet. Mit einem EPSS-Score von 0.94305 (99.94. Perzentil) zeigt diese Schwachstelle eine erhebliche reale Ausnutzungsaktivität und sollte mit hoher Priorität behoben werden.
KEV-Informationen
CVSS-Score
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:HIm Rechner öffnenCWEs
Betroffene Produkte
| Hersteller | Produkt | Version |
|---|---|---|
| apache | struts | >= 2.0.0, < 2.5.30 |
| oracle | business intelligence | 12.2.1.3.0; 12.2.1.4.0 |
| oracle | communications diameter intelligence hub | 8.0.0; 8.1.0; 8.2.0; 8.2.3 |
| oracle | communications policy management | 12.5.0 |
| oracle | communications pricing design center | 12.0.0.3.0 |
| oracle | financial services data integration hub | 8.0.3; 8.0.6 |
| oracle | hospitality opera 5 | 5.6 |
| oracle | mysql enterprise monitor | 8.0.23 |
Mehrere CVSS-Bewertungen
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
Referenzen
- http://jvn.jp/en/jp/JVN43969166/index.html(Third Party Advisory)
- http://packetstormsecurity.com/files/160721/Apache-Struts-2-Forced-Multi-OGNL-Evaluation.html(Third Party Advisory, VDB Entry)
- http://www.openwall.com/lists/oss-security/2022/04/12/6(Mailing List, Third Party Advisory)
- https://cwiki.apache.org/confluence/display/WW/S2-061(Vendor Advisory)
- https://security.netapp.com/advisory/ntap-20210115-0005/(Patch, Third Party Advisory)
- https://www.oracle.com//security-alerts/cpujul2021.html(Patch, Third Party Advisory)
- https://www.oracle.com/security-alerts/cpuApr2021.html(Patch, Third Party Advisory)
- https://www.oracle.com/security-alerts/cpuapr2022.html(Third Party Advisory)
- https://www.oracle.com/security-alerts/cpujan2021.html(Patch, Third Party Advisory)
- https://www.oracle.com/security-alerts/cpujan2022.html(Patch, Third Party Advisory)
- https://www.oracle.com/security-alerts/cpuoct2021.html(Patch, Third Party Advisory)
- https://www.cisa.gov/known-exploited-vulnerabilities-catalog?field_cve=CVE-2020-17530(US Government Resource)
Schwachstellentyp
CWE-917: Improper Neutralization of Special Elements used in an Expression Language Statement (Expression Language Injection)
CVE-2020-17530 wird unter CWE-917 — Improper Neutralization of Special Elements used in an Expression Language Statement (Expression Language Injection) — klassifiziert. Expression Language Injection tritt auf, wenn benutzerkontrollierbare Eingaben ohne angemessene Bereinigung in Expression-Language-Anweisungen eingebettet werden. Ausdruckssprachen wie OGNL, SpEL und EL bieten leistungsstarke Laufzeit-Evaluierungsfähigkeiten, aber wenn Angreifer-Eingaben diese Evaluierungskontexte erreichen, kann dies zu beliebiger Codeausführung auf dem Server führen. Diese Schwachstelle ist besonders verbreitet in Java-basierten Web-Frameworks, die auf Ausdruckssprachen für dynamisches Content-Rendering und Datenbindung angewiesen sind.
Im Kontext von Apache Struts ist diese Schwachstelle kritisch gefährlich, da OGNL (Object-Graph Navigation Language) direkten Zugriff auf Java-Objekte, Methoden und das zugrunde liegende Betriebssystem bietet. Angreifer, die eine OGNL-Evaluierung ihrer Eingaben erzwingen können, können beliebige Java-Klassen instanziieren, Systembefehle ausführen, Dateien lesen und schreiben und den Anwendungsserver vollständig kompromittieren.
Mehr erfahren: CWE-917 — Improper Neutralization of Special Elements used in an Expression Language Statement (Expression Language Injection)
Auswirkungsanalyse
CVE-2020-17530 hat einen CVSS 3.1-Score von 9.8 (KRITISCH) mit unverändertem Scope.
Vertraulichkeit (HIGH): Eine erfolgreiche Ausnutzung gewährt dem Angreifer umfassenden Zugriff auf sensible Daten, die von Apache Struts verarbeitet werden, einschließlich Konfigurationsdateien, Anmeldedaten und potenziell Daten aus verbundenen Systemen.
Integrität (HIGH): Angreifer können kritische Systemdateien modifizieren, Hintertüren installieren, Konfigurationen ändern oder Malware auf betroffenen Systemen mit Apache Struts bereitstellen.
Verfügbarkeit (HIGH): Eine vollständige Unterbrechung des betroffenen Dienstes oder Systems ist möglich, einschließlich Denial-of-Service, Systemabstürzen oder dem Unbrauchbarmachen des Produkts.
Scope unverändert: Der Scope der Schwachstelle ist unverändert (U), was bedeutet, dass die Ausnutzung auf die verwundbare Komponente beschränkt ist. Die Auswirkungen sind, obwohl erheblich, auf die Apache Struts-Umgebung selbst begrenzt.
Mit einem EPSS-Score von 0.94305 (99.94. Perzentil) gehört diese Schwachstelle zu den am wahrscheinlichsten in realen Angriffen ausgenutzten Schwachstellen, was die Dringlichkeit der Behebung unterstreicht.
Exploit-Reifegrad
CVE-2020-17530 hat eine bestätigte aktive Ausnutzung in freier Wildbahn und ist im CISA Known Exploited Vulnerabilities-Katalog gelistet.
Exploit-Status: Diese Schwachstelle wurde aktiv ausgenutzt, wie durch die Aufnahme in den KEV-Katalog bestätigt. Der EPSS-Score von 0.94305 (99.94. Perzentil) platziert sie unter den am häufigsten ausgenutzten Schwachstellen.
Ransomware-Verbindung: Nach den neuesten KEV-Daten wurde keine direkte Ransomware-Verbindung für CVE-2020-17530 bestätigt. Die bestätigte Ausnutzung in freier Wildbahn bedeutet jedoch, dass Bedrohungsakteure diese Schwachstelle aktiv in Angriffen einsetzen.
Angriffsfläche: Der hohe EPSS-Score und die KEV-Listung bestätigen, dass Bedrohungsakteure funktionierende Exploits entwickelt und eingesetzt haben. Öffentliche Proof-of-Concept-Code und Exploitationstools sind verfügbar, was diese Schwachstelle für ein breites Spektrum von Angreifern zugänglich macht. Organisationen sollten davon ausgehen, dass automatisierte Scanning- und Exploitationstools für diese Schwachstelle aktiv im Einsatz sind.
KEV-Frist: CISA hat Bundesbehörden verpflichtet, diese Schwachstelle bis 2022-05-03 zu beheben. Alle Organisationen sollten diese Frist als starke Empfehlung für ihre eigenen Behebungszeitpläne betrachten.
Behebung
- Hersteller-Patches sofort anwenden. Wenden Sie Updates gemäß den Herstelleranweisungen an. Aktualisieren Sie Apache Struts auf die neueste gepatchte Version, die diese Schwachstelle behebt. Konsultieren Sie die offiziellen Herstellerhinweise für spezifische Patch-Anleitungen.
- Betroffene Produktversionen in Ihrer Umgebung überprüfen. Identifizieren Sie alle Instanzen von Apache Struts in Ihrer Infrastruktur (betroffene Versionen: Apache Struts (>= 2.0.0, < 2.5.30), Oracle Business Intelligence (12.2.1.3.0; 12.2.1.4.0), Oracle MySQL Enterprise Monitor (8.0.23)). Verwenden Sie Asset-Inventar- und Schwachstellen-Scanning-Tools, um sicherzustellen, dass keine Instanzen übersehen werden.
- Übergangslösungen implementieren, wenn Patching verzögert wird. Falls ein sofortiges Patching nicht möglich ist, wenden Sie Netzwerk-Level-Kontrollen an, wie die Einschränkung des Zugriffs auf die betroffene Komponente, die Aktivierung erweiterter Protokollierung und die Überwachung auf Kompromittierungsindikatoren.
- Nach Anzeichen früherer Ausnutzung suchen. Angesichts der bestätigten aktiven Ausnutzung dieser Schwachstelle überprüfen Sie Systemprotokolle und Sicherheitsüberwachungsdaten auf Hinweise auf eine Kompromittierung. Führen Sie eine gründliche Untersuchung durch, wenn verdächtige Aktivitäten entdeckt werden.
- Erkennungssignaturen und Überwachungsregeln aktualisieren. Stellen Sie sicher, dass Intrusion-Detection- und Prevention-Systeme, Endpoint-Detection-Tools und SIEM-Regeln aktualisiert sind, um Ausnutzungsversuche gegen CVE-2020-17530 zu erkennen.
- Nachkontrolle nach der Behebung durchführen. Überprüfen Sie nach dem Patching, ob der Fix wirksam ist, und dokumentieren Sie die durchgeführten Behebungsmaßnahmen. Aktualisieren Sie Ihre Schwachstellenmanagement-Aufzeichnungen.
Technische Details
CVE-2020-17530 ist eine Schwachstelle mit KRITISCHEM Schweregrad in Apache Struts, die remote über das Netzwerk ohne physischen Zugang ausgenutzt werden kann. Die Angriffskomplexität ist niedrig, was bedeutet, dass keine spezialisierten Bedingungen oder Vorbereitungen über die Angriffsvoraussetzungen hinaus erforderlich sind. Es sind keine vorherigen Authentifizierungen oder Privilegien erforderlich. Es ist keine Benutzerinteraktion erforderlich, was eine vollautomatisierte Ausnutzung ermöglicht.
Technischer Mechanismus: Forced OGNL evaluation, when evaluated on raw user input in tag attributes, may lead to remote code execution in Apache Struts 2.0.0 - 2.5.25. Der zugrunde liegende Fehler bezieht sich auf Improper Neutralization of Special Elements used in an Expression Language Statement (Expression Language Injection), wodurch Angreifer die Verarbeitungslogik der Anwendung auf unbeabsichtigte Weise manipulieren können. Eine erfolgreiche Ausnutzung ermöglicht die Ausführung beliebigen Codes auf dem Zielsystem, was potenziell zu einer vollständigen Systemkompromittierung führt.
CVSS 3.1-Vektoranalyse: Der Vektor zeigt einen Angriffsvektor von NETWORK, Angriffskomplexität von LOW, erforderliche Privilegien von NONE, Benutzerinteraktion von NONE, Scope UNCHANGED und Auswirkungsbewertungen von HIGH/HIGH/HIGH für Vertraulichkeit/Integrität/Verfügbarkeit. Der unveränderte Scope bedeutet, dass die Auswirkungen auf die verwundbare Komponente selbst beschränkt sind.
Häufig gestellte Fragen
Wird CVE-2020-17530 aktiv ausgenutzt?
Ja. CVE-2020-17530 ist im CISA Known Exploited Vulnerabilities (KEV)-Katalog gelistet, was eine aktive Ausnutzung in freier Wildbahn bestätigt. Mit einem EPSS-Score von 0.94305 (99.94. Perzentil) gehört sie zu den am häufigsten ausgenutzten Schwachstellen weltweit. Organisationen sollten dies als sofortige Behebungspriorität behandeln.
Welche Produkte sind von CVE-2020-17530 betroffen?
Die betroffenen Produkte umfassen Apache Struts (>= 2.0.0, < 2.5.30), Oracle Business Intelligence (12.2.1.3.0; 12.2.1.4.0), Oracle MySQL Enterprise Monitor (8.0.23). Organisationen, die eine dieser Versionen einsetzen, sollten ihre Exposition überprüfen und die Behebung priorisieren. Konsultieren Sie die Herstellerhinweise für die vollständige und aktuellste Liste der betroffenen Versionen.
Wie behebe ich CVE-2020-17530?
Wenden Sie Updates gemäß den Herstelleranweisungen an. Stellen Sie sicher, dass alle betroffenen Instanzen von Apache Struts mithilfe von Schwachstellen-Scanning und Asset-Management-Tools identifiziert werden. Falls ein sofortiges Patching nicht möglich ist, implementieren Sie Netzwerk-Level-Maßnahmen und erweiterte Überwachung. Überprüfen Sie nach dem Patching den Fix und suchen Sie nach Indikatoren für eine vorherige Kompromittierung.
Wie schwerwiegend ist CVE-2020-17530?
CVE-2020-17530 wird als KRITISCH mit einem CVSS 3.1-Score von 9.8 eingestuft. Der EPSS-Score von 0.94305 platziert sie im 99.94. Perzentil für die Ausnutzungswahrscheinlichkeit. Die Schwachstelle hat eine bestätigte aktive Ausnutzung in freier Wildbahn und musste von Bundesbehörden bis 2022-05-03 gemäß der CISA KEV-Richtlinie behoben werden.
Hilfe beim Schwachstellenmanagement?
Unsere Sicherheitsexperten helfen Ihnen bei der Priorisierung und Behebung von Schwachstellen.