CVE-2020-5722
Grandstream Networks UCM6200 Series SQL Injection Vulnerability
Beschreibung
CVE-2020-5722 ist eine kritische SQL-Injection-Schwachstelle (CWE-89) in den IP-PBX-Systemen der Grandstream UCM6200-Serie mit Firmware-Versionen vor 1.0.19.20. Die Schwachstelle ermöglicht es einem nicht authentifizierten Angreifer, über speziell gestaltete HTTP-Anfragen an die Web-Oberfläche des Geräts bösartige SQL-Befehle einzuschleusen und letztendlich beliebigen Code mit Root-Rechten auf dem zugrunde liegenden Betriebssystem auszuführen. Mit einem CVSS-3.1-Score von 9.8 (CRITICAL) erfordert diese Schwachstelle keine Authentifizierung, keine Benutzerinteraktion und kann über das Netzwerk mit geringer Angriffskomplexität ausgenutzt werden. CISA hat CVE-2020-5722 am 28. Januar 2022 in den KEV-Katalog aufgenommen, mit einer Behebungsfrist bis zum 28. Juli 2022. Der EPSS-Score von 0,92735 (99,75. Perzentile) spiegelt eine extrem hohe Ausnutzungswahrscheinlichkeit wider.
KEV-Informationen
CVSS-Score
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:HIm Rechner öffnenBetroffene Produkte
| Hersteller | Produkt | Version |
|---|---|---|
| grandstream | ucm6200 firmware | < 1.0.19.20 |
Mehrere CVSS-Bewertungen
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
Referenzen
- http://packetstormsecurity.com/files/156876/UCM6202-1.0.18.13-Remote-Command-Injection.html(Exploit, Third Party Advisory, VDB Entry)
- http://packetstormsecurity.com/files/165708/Grandstream-UCM62xx-IP-PBX-sendPasswordEmail-Remote-Code-Execution.html(Exploit, Third Party Advisory, VDB Entry)
- https://www.tenable.com/security/research/tra-2020-15(Exploit, Third Party Advisory)
- https://www.cisa.gov/known-exploited-vulnerabilities-catalog?field_cve=CVE-2020-5722(US Government Resource)
Schwachstellentyp
CWE-89: Unsachgemäße Neutralisierung von Spezialelementen in einem SQL-Befehl ('SQL Injection')
SQL Injection gehört zu den bekanntesten und gefährlichsten Schwachstellenklassen in der Software-Sicherheit. Sie tritt auf, wenn eine Anwendung SQL-Abfragen konstruiert, indem sie Benutzereingaben direkt ohne ordnungsgemäße Bereinigung oder Parametrisierung einbindet. Angreifer nutzen dies aus, indem sie bösartige SQL-Syntax über Eingabefelder, URL-Parameter, HTTP-Header oder Cookies einschleusen, wodurch die Datenbank unbeabsichtigte Befehle ausführt. Die Konsequenzen reichen von unberechtigtem Datenzugriff und -manipulation bis hin zur vollständigen Kompromittierung der Datenbank und in einigen Konfigurationen zur Ausführung von Betriebssystembefehlen. SQL Injection war für einige der größten Datenverletzungen der Geschichte verantwortlich und rangiert laut OWASP konstant unter den größten Sicherheitsrisiken für Webanwendungen.
Bei der Grandstream UCM6200-Serie manifestiert sich die SQL-Injection-Schwachstelle in der Web-Oberfläche des Geräts, die HTTP-Anfragen verarbeitet, ohne SQL-Spezialelemente in den vom Benutzer bereitgestellten Parametern angemessen zu neutralisieren. Da das UCM6200 ein IP-PBX-System ist, das die Telekommunikation für Organisationen verwaltet, enthält die zugrunde liegende Datenbank sensible Anrufaufzeichnungen, Benutzeranmeldedaten, Voicemail-Daten und Netzwerkkonfigurationsdetails. Die fehlende Eingabevalidierung ermöglicht es einem nicht authentifizierten Angreifer, HTTP-Anfragen zu erstellen, die SQL-Abfragen manipulieren, die Authentifizierung vollständig umgehen und beliebige Befehle als Root auf dem Gerät ausführen. Mehr über SQL Injection (CWE-89) erfahren
Auswirkungsanalyse
CVE-2020-5722 weist einen CVSS-3.1-Basiswert von 9.8 (CRITICAL) auf, der die maximale Schwere über alle Auswirkungsdimensionen bei minimalen Voraussetzungen für die Ausnutzung widerspiegelt.
Vertraulichkeit (Hoch): Erfolgreiche SQL-Injection auf dem UCM6200 gewährt dem Angreifer uneingeschränkten Zugriff auf alle in der Datenbank des Geräts gespeicherten Daten. Dies umfasst Verbindungsdatensätze mit Informationen zu jedem über die PBX-Anlage gerouteten Anruf, Benutzeranmeldedaten und Authentifizierungstoken, Voicemail-Aufzeichnungen, SIP-Kontokonfigurationen und interne Netzwerktopologie-Details. Da die Ausnutzung zu Code-Ausführung auf Root-Ebene führt, kann der Angreifer auch jede Datei auf dem Dateisystem des Geräts lesen, einschließlich Verschlüsselungsschlüsseln und Zertifikaten für sichere Kommunikation.
Integrität (Hoch): Ein Angreifer kann beliebige Daten in der Datenbank modifizieren, darunter die Änderung von Anrufweiterleitungsregeln zur Umleitung von Anrufen, das Einfügen von Backdoor-Konten für persistenten Zugriff, die Manipulation von Voicemail-Nachrichten oder die Änderung von SIP-Trunk-Konfigurationen zum Abfangen von Kommunikation. Mit Root-Level-Befehlsausführung kann der Angreifer Systembinärdateien modifizieren, persistente Malware installieren und die Geräte-Firmware ändern.
Verfügbarkeit (Hoch): Der Angreifer kann die gesamte PBX-Infrastruktur stören, indem er kritische Datenbanktabellen löscht, die Firmware beschädigt oder absichtlich Routing-Regeln falsch konfiguriert. Da das UCM6200 die gesamte Sprachkommunikation der Organisation abwickelt, legt ein Denial-of-Service-Angriff auf dieses Gerät effektiv das gesamte Telefonsystem der Organisation lahm.
Scope (Unverändert): Obwohl der Scope technisch als unverändert bewertet wird, bietet der Root-Zugriff auf das PBX-System einen Netzwerk-Brückenkopf, der für Angriffe auf andere Systeme im selben Netzwerksegment genutzt werden kann. Der EPSS-Score von 0,92735 (99,75. Perzentile) bestätigt eine nahezu sichere Ausnutzungsaktivität.
Exploit-Reifegrad
Aktive Ausnutzung: CVE-2020-5722 wird nachweislich aktiv in der Praxis ausgenutzt. CISA hat diese Schwachstelle am 28. Januar 2022 in den Known Exploited Vulnerabilities (KEV) Katalog aufgenommen und verpflichtet Bundesbehörden, sie bis zum 28. Juli 2022 zu beheben. Die Aufnahme in den KEV-Katalog basiert auf verlässlichen Belegen aktiver Ausnutzung durch Bedrohungsakteure, die internetexponierte PBX-Systeme angreifen.
Ransomware-Bezug: Der CISA-KEV-Katalog ordnet CVE-2020-5722 keinen bekannten Ransomware-Kampagnen zu. Der durch diese Schwachstelle erreichbare Root-Zugriff könnte jedoch ohne Weiteres von Ransomware-Betreibern genutzt werden, die über exponierte Netzwerkgeräte einen initialen Netzwerkzugang suchen.
Öffentliche Exploits: Mehrere öffentliche Exploit-Module sind für diese Schwachstelle verfügbar. Packet Storm Security hostet detaillierten Exploit-Code für die UCM6202 Remote Command Injection und die Grandstream UCM62xx Remote Code Execution. Zusätzlich hat Tenable eine detaillierte Sicherheitsanalyse (TRA-2020-15) veröffentlicht.
EPSS-Kontext: Der EPSS-Score von 0,92735 (99,75. Perzentile) zeigt, dass diese Schwachstelle zu den obersten 0,25% aller CVEs hinsichtlich der Ausnutzungswahrscheinlichkeit gehört, was sowohl die Verfügbarkeit öffentlicher Exploits als auch die bestätigte Aktivität in freier Wildbahn widerspiegelt.
KEV-Frist: Bundesbehörden mussten die Schwachstelle bis zum 28. Juli 2022 beheben. Organisationen außerhalb des Bundessektors sollten diese Frist als dringende Empfehlung für priorisiertes Patching betrachten.
Behebung
-
Grandstream UCM6200 Firmware auf Version 1.0.19.20 oder höher aktualisieren. Laden Sie das neueste Firmware-Update vom offiziellen Grandstream-Supportportal herunter und installieren Sie es. Dieses Update behebt die SQL-Injection-Schwachstelle durch Implementierung ordnungsgemäßer Eingabebereinigung bei der Verarbeitung von HTTP-Anfragen in der Web-Oberfläche.
-
Netzwerkzugriff auf die UCM6200 Web-Management-Oberfläche einschränken. Platzieren Sie das PBX-System hinter einer Firewall und beschränken Sie den Zugriff auf die administrative Web-Oberfläche auf vertrauenswürdige interne IP-Adressen. Deaktivieren Sie alle Port-Forwarding-Regeln, die die Management-Oberfläche dem öffentlichen Internet aussetzen, da die Schwachstelle ohne Authentifizierung remote ausgenutzt werden kann.
-
Gerät auf Anzeichen einer früheren Kompromittierung überprüfen. Überprüfen Sie Systemprotokolle auf ungewöhnliche HTTP-Anfragen an die Web-Oberfläche, unerwartet erstellte Administratorkonten, Änderungen an Anrufweiterleitungskonfigurationen oder Hinweise auf ausgehende Verbindungen zu unbekannten IP-Adressen. Bei Verdacht auf Kompromittierung führen Sie einen Werksreset durch und stellen Sie nach der Firmware-Aktualisierung eine bekannt sichere Sicherung wieder her.
-
Alle auf dem Gerät gespeicherten Anmeldedaten rotieren. Ändern Sie alle SIP-Kontopasswörter, Administratorzugangsdaten, Voicemail-PINs und alle auf dem UCM6200 konfigurierten gemeinsamen Geheimnisse oder Zertifikate. Bei einer Kompromittierung ist davon auszugehen, dass alle gespeicherten Anmeldedaten vom Angreifer exfiltriert wurden.
-
Netzwerksegmentierung für Sprachinfrastruktur implementieren. Platzieren Sie PBX-Systeme und SIP-Endpunkte in einem dedizierten VLAN, das von allgemeinen Arbeitsplätzen und Servern getrennt ist. Wenden Sie strenge Zugriffssteuerungslisten an, um die segmentübergreifende Kommunikation auf die für Sprachdienste erforderlichen Protokolle und Ports zu beschränken.
-
Web Application Firewall oder Intrusion Prevention System einsetzen. Konfigurieren Sie WAF- oder IPS-Regeln zur Erkennung und Blockierung von SQL-Injection-Versuchen auf die UCM6200-Web-Oberfläche als zusätzliche Verteidigungsschicht. Überwachen Sie Alarme für Ausnutzungsversuche zur Aufrechterhaltung des Situationsbewusstseins.
Technische Details
CVE-2020-5722 ist eine nicht authentifizierte SQL-Injection-Schwachstelle in der Web-Management-Oberfläche der Grandstream UCM6200-Serie IP-PBX-Systeme. Die anfälligen Firmware-Versionen vor 1.0.19.20 versäumen es, vom Benutzer bereitgestellte Eingaben in HTTP-Anfrageparametern ordnungsgemäß zu bereinigen, bevor sie in SQL-Abfragen eingebunden werden, die gegen die interne Datenbank des Geräts ausgeführt werden. Dies ermöglicht es einem Angreifer, beliebige SQL-Syntax einzuschleusen, die die beabsichtigte Abfragelogik verändert.
Der Angriff erfordert keine Authentifizierung und kann remote über das Netzwerk durchgeführt werden (AV:N/AC:L/PR:N/UI:N). Der Angreifer erstellt HTTP-Anfragen mit SQL-Injection-Payloads in bestimmten Parametern, die von der Web-Oberfläche verarbeitet werden. Da die Datenbank-Engine auf dem UCM6200 mit erhöhten Rechten läuft, bietet eine erfolgreiche SQL-Injection nicht nur vollständigen Datenbankzugriff, sondern ermöglicht auch die Ausführung von Betriebssystembefehlen über Datenbankfunktionen, wodurch Root-Level-Code-Ausführung auf dem zugrunde liegenden Linux-System erreicht wird.
Die Grundursache ist ein klassisches Versäumnis bei der Implementierung parametrisierter Abfragen oder Prepared Statements im Web-Application-Code. Stattdessen konstruiert die Anwendung SQL-Abfragestrings durch direkte Verkettung von Benutzereingaben, was Angreifern ermöglicht, aus dem beabsichtigten Abfragekontext auszubrechen und beliebige SQL-Befehle auszuführen. Das Tenable-Forschungsteam hat die Ausnutzungskette in TRA-2020-15 dokumentiert und gezeigt, wie die SQL-Injection in der sendPasswordEmail-Funktion zu vollständiger Remote-Code-Ausführung verkettet werden kann.
Der CVSS-3.1-Vektor (AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H) spiegelt das Worst-Case-Szenario wider: eine netzwerkzugängliche Schwachstelle ohne Voraussetzungen, die eine vollständige Kompromittierung von Vertraulichkeit, Integrität und Verfügbarkeit auf dem Zielgerät erreicht.
Häufig gestellte Fragen
Was ist CVE-2020-5722?
CVE-2020-5722 ist eine kritische SQL-Injection-Schwachstelle in den IP-PBX-Systemen der Grandstream UCM6200-Serie. Sie ermöglicht nicht authentifizierten Remote-Angreifern, über die Web-Oberfläche des Geräts bösartige SQL-Befehle einzuschleusen und letztendlich beliebigen Code mit Root-Rechten auszuführen. Die Schwachstelle betrifft Firmware-Versionen vor 1.0.19.20 und hat einen CVSS-3.1-Score von 9.8 (CRITICAL).
Welche Grandstream-Produkte sind von CVE-2020-5722 betroffen?
Die Schwachstelle betrifft die Grandstream UCM6200-Serie mit Firmware-Versionen unterhalb von 1.0.19.20. Dazu gehören Modelle wie die UCM6202, UCM6204 und UCM6208 IP-PBX-Systeme. Organisationen, die ein UCM6200-Seriengerät mit veralteter Firmware verwenden, sollten umgehend aktualisieren, insbesondere wenn die Web-Management-Oberfläche aus nicht vertrauenswürdigen Netzwerken erreichbar ist.
Wie behebe ich CVE-2020-5722?
Aktualisieren Sie die UCM6200-Firmware auf Version 1.0.19.20 oder höher, die die SQL-Injection-Schwachstelle behebt. Beschränken Sie zusätzlich den Netzwerkzugriff auf die Web-Management-Oberfläche auf vertrauenswürdige IP-Adressen und stellen Sie sicher, dass das Gerät nicht direkt dem Internet ausgesetzt ist. Überprüfen Sie das Gerät nach dem Patching auf Anzeichen einer früheren Kompromittierung und rotieren Sie vorsorglich alle gespeicherten Anmeldedaten.
Wie schwerwiegend ist CVE-2020-5722?
CVE-2020-5722 ist mit einem CVSS-3.1-Score von 9.8 als KRITISCH eingestuft, was nahezu dem maximalen Schweregrad entspricht. Der EPSS-Score von 0,92735 platziert die Schwachstelle in der 99,75. Perzentile der Ausnutzungswahrscheinlichkeit. CISA hat eine aktive Ausnutzung bestätigt und die Schwachstelle in den Known Exploited Vulnerabilities Katalog aufgenommen. Die Schwachstelle erfordert keine Authentifizierung und ermöglicht Remote-Root-Level-Code-Ausführung, was sie zu einer der gefährlichsten Schwachstellen für IP-PBX-Systeme macht.
Hilfe beim Schwachstellenmanagement?
Unsere Sicherheitsexperten helfen Ihnen bei der Priorisierung und Behebung von Schwachstellen.