CVE-2020-5849
Unraid Authentication Bypass Vulnerability
Beschreibung
CVE-2020-5849 ist eine Schwachstelle mit hohem Schweregrad zur Authentifizierungsumgehung in Unraid Version 6.8.0, die es nicht authentifizierten Angreifern ermöglicht, Zugang zur administrativen Oberfläche zu erlangen. Diese Schwachstelle ist besonders gefährlich, da sie mit CVE-2020-5847, einer Schwachstelle zur Remote-Code-Ausführung, verkettet werden kann, um eine nicht authentifizierte Remote-Code-Ausführung als Root auf dem betroffenen System zu erreichen. Die CISA hat die aktive Ausnutzung bestätigt, indem sie diese Schwachstelle in den Katalog der bekannten ausgenutzten Schwachstellen (KEV) aufgenommen hat. Mit einem EPSS-Score von 93,76 % (99,9. Perzentil) besteht eine extrem hohe Wahrscheinlichkeit der Ausnutzung in freier Wildbahn.
KEV-Informationen
CVSS-Score
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:NIm Rechner öffnenCWEs
Betroffene Produkte
| Hersteller | Produkt | Version |
|---|---|---|
| unraid | unraid | 6.8.0 |
Mehrere CVSS-Bewertungen
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N
Referenzen
- http://packetstormsecurity.com/files/157275/Unraid-6.8.0-Authentication-Bypass-Arbitrary-Code-Execution.html(Exploit, Third Party Advisory, VDB Entry)
- https://forums.unraid.net/forum/7-announcements/(Release Notes, Vendor Advisory)
- https://sysdream.com/news/lab/(Third Party Advisory)
- https://sysdream.com/news/lab/2020-02-06-cve-2020-5847-cve-2020-5849-unraid-6-8-0-unauthenticated-remote-code-execution-as-root/(Broken Link, Exploit, Third Party Advisory)
- https://www.cisa.gov/known-exploited-vulnerabilities-catalog?field_cve=CVE-2020-5849(US Government Resource)
Schwachstellentyp
CWE-697: Fehlerhafter Vergleich
Ein fehlerhafter Vergleich tritt auf, wenn Software einen Vergleich durchführt, der inkorrekt ist, was zu unerwarteten Ergebnissen führt und es Angreifern potenziell ermöglicht, Sicherheitskontrollen zu umgehen. Im Kontext von CVE-2020-5849 enthält der Unraid-Authentifizierungsmechanismus einen fehlerhaften Vergleich, der es Angreifern ermöglicht, die Authentifizierungsprüfung vollständig zu umgehen und unbefugten Zugang zur administrativen Oberfläche zu erlangen, ohne gültige Anmeldedaten anzugeben.
Mehr erfahren: CWE-697 — Fehlerhafter Vergleich
Auswirkungsanalyse
CVE-2020-5849 hat einen CVSS-3.1-Score von 7,5 (HOCH), der eine erhebliche Bedrohung durch Authentifizierungsumgehung widerspiegelt. Die Schwachstelle ist über das Netzwerk aus der Ferne mit niedriger Angriffskomplexität ausnutzbar, erfordert keine Authentifizierung und keine Benutzerinteraktion, wodurch sie trivial von jedem entfernten Angreifer ausgenutzt werden kann. Vertraulichkeit (Hoch): Eine erfolgreiche Ausnutzung gewährt unbefugten Zugang zur Unraid-Administrationsoberfläche und legt Serverkonfiguration, Speicherpools, Docker-Container, virtuelle Maschinen und alle verwalteten Daten offen. Integrität (Keine) und Verfügbarkeit (Keine): Obwohl der CVSS-Score für diese spezifische CVE nur die Vertraulichkeitsauswirkung widerspiegelt, wird die reale Bedrohung erheblich verstärkt, wenn sie mit CVE-2020-5847 kombiniert wird, die eine beliebige Code-Ausführung als Root ermöglicht. Der EPSS-Score von 93,76 % (99,9. Perzentil) weist auf nahezu sichere Ausnutzungsaktivität hin, was eine sofortige Behebung unerlässlich macht.
Exploit-Reifegrad
Öffentlicher Exploit-Code ist verfügbar für CVE-2020-5849 über Packet Storm Security, der sowohl die Authentifizierungsumgehung als auch die verkettete Remote-Code-Ausführung via CVE-2020-5847 umfasst. Die CISA hat die aktive Ausnutzung durch die Aufnahme in den Katalog der bekannten ausgenutzten Schwachstellen bestätigt, mit einer Behebungsfrist bis zum 03.05.2022. Der EPSS-Score von 93,76 % (99,9. Perzentil) weist auf nahezu sichere Ausnutzungsaktivität im Internet hin. In Kombination mit CVE-2020-5847, die beliebige Code-Ausführung ermöglicht, erlaubt die Angriffskette eine nicht authentifizierte Remote-Code-Ausführung als Root, was dies zu einer besonders hochprioritären Bedrohung für jede exponierte Unraid-Installation macht.
Behebung
- Hersteller-Updates sofort anwenden, wie von der CISA-KEV-Richtlinie gefordert: Updates gemäß Herstelleranweisungen durchführen. Unraid hat Patches in Versionen nach 6.8.0 veröffentlicht, die sowohl CVE-2020-5849 als auch CVE-2020-5847 beheben.
- Alle Unraid-Installationen von Version 6.8.0 auf die neueste verfügbare Version aktualisieren, die Fixes für die Authentifizierungsumgehung enthält. Das erfolgreiche Upgrade durch Bestätigung der Versionsnummer in der Unraid-Weboberfläche verifizieren.
- Den Netzwerkzugriff auf die Unraid-Webverwaltungsoberfläche sofort einschränken und sicherstellen, dass sie nicht dem Internet ausgesetzt ist. Firewall-Regeln, VPN-Zugangsanforderungen oder Netzwerksegmentierung verwenden, um den Zugriff nur auf vertrauenswürdige Administrator-Netzwerke zu beschränken.
- Unraid-Serverprotokolle auf Anzeichen von unbefugtem administrativem Zugriff, unerwarteten Benutzersitzungen oder anomalen API-Anfragen überwachen, die auf eine Ausnutzung der Authentifizierungsumgehung hindeuten könnten.
- Alle Unraid-Serverkonfigurationen, Docker-Container, VMs und gespeicherten Daten auf Hinweise auf unautorisierte Änderungen auditieren, die während des Expositionszeitraums aufgetreten sein könnten, insbesondere wenn der Server aus dem Internet erreichbar war.
Technische Details
CVE-2020-5849 basiert auf einer Schwachstelle durch fehlerhaften Vergleich (CWE-697) im Authentifizierungsmechanismus von Unraid 6.8.0. Der Fehler in der Vergleichslogik ermöglicht es einem Angreifer, die Authentifizierungsprüfung für die webbasierte Administrationsoberfläche zu umgehen, ohne gültige Anmeldedaten anzugeben. Der CVSS-Vektor (CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N) bestätigt, dass der Angriff netzwerkbasiert und trivial einfach durchzuführen ist, keine Authentifizierung oder Benutzerinteraktion erfordert und primär die Vertraulichkeit durch unbefugten Zugang zum Administrationsbereich beeinträchtigt. Die Schwachstelle ist aufgrund ihrer Verkettbarkeit mit CVE-2020-5847, einer separaten Remote-Code-Ausführungsschwachstelle in derselben Unraid-Version, besonders schwerwiegend. Beide zusammen bilden eine vollständige Angriffskette von nicht authentifiziertem Netzwerkzugang bis zur Code-Ausführung auf Root-Ebene auf dem NAS-Server.
Häufig gestellte Fragen
Wird CVE-2020-5849 aktiv ausgenutzt?
Ja. CVE-2020-5849 ist im CISA-Katalog der bekannten ausgenutzten Schwachstellen gelistet, was die aktive Ausnutzung in freier Wildbahn bestätigt. Der EPSS-Score von 93,76 % (99,9. Perzentil) weist auf nahezu sichere Ausnutzungsaktivität hin. Öffentlicher Exploit-Code ist verfügbar, der diese Schwachstelle mit CVE-2020-5847 für nicht authentifizierte Remote-Code-Ausführung verkettet. Es ist derzeit keine Verbindung zu Ransomware-Kampagnen bekannt.
Welche Produkte sind von CVE-2020-5849 betroffen?
CVE-2020-5849 betrifft Unraid Version 6.8.0. Unraid ist ein beliebtes NAS-Betriebssystem (Network Attached Storage), das für Heim- und Kleinunternehmen-Speicherserver, Docker-Container und Virtual-Machine-Hosting verwendet wird.
Wie behebe ich CVE-2020-5849?
Aktualisieren Sie Unraid von Version 6.8.0 auf die neueste verfügbare Version, die den Fix für die Authentifizierungsumgehung enthält. Stellen Sie bis zur Durchführung des Upgrades sicher, dass die Unraid-Weboberfläche nicht über das Internet zugänglich ist, indem Sie sie hinter eine Firewall oder ein VPN stellen.
Wie schwerwiegend ist CVE-2020-5849?
CVE-2020-5849 hat einen CVSS-3.1-Score von 7,5 (HOCH). Während die eigenständige Schwachstelle nur die Vertraulichkeit beeinträchtigt, wird sie kritisch, wenn sie mit CVE-2020-5847 verkettet wird, was eine nicht authentifizierte Remote-Code-Ausführung als Root ermöglicht. Der EPSS-Score von 93,76 % platziert sie im 99,9. Perzentil für die Ausnutzungswahrscheinlichkeit.
Hilfe beim Schwachstellenmanagement?
Unsere Sicherheitsexperten helfen Ihnen bei der Priorisierung und Behebung von Schwachstellen.