CVE-2020-8644
PlaySMS Server-Side Template Injection Vulnerability
Beschreibung
CVE-2020-8644 ist eine kritische Code-Injection-Schwachstelle in PlaySMS, einer quelloffenen webbasierten SMS-Gateway-Plattform. PlaySMS vor Version 1.4.3 sanitisiert Benutzereingaben nicht ordnungsgemäß, was Server-Side Template Injection (SSTI) ermöglicht, die zu Remote Code Execution führt. Ein nicht authentifizierter Angreifer mit Netzwerkzugriff kann diese Schwachstelle ausnutzen, um beliebigen Code auf dem PlaySMS-Hostserver auszuführen. CISA hat diese Schwachstelle in den Known Exploited Vulnerabilities (KEV)-Katalog aufgenommen, was eine aktive Ausnutzung bestätigt. Mit einem EPSS-Score von 94,00% (99,89. Perzentil) weist diese PlaySMS Code-Injection-Schwachstelle eine nahezu sichere Ausnutzungswahrscheinlichkeit auf.
KEV-Informationen
CVSS-Score
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:HIm Rechner öffnenBetroffene Produkte
| Hersteller | Produkt | Version |
|---|---|---|
| playsms | playsms | < 1.4.3 |
Mehrere CVSS-Bewertungen
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
Referenzen
- http://packetstormsecurity.com/files/157106/PlaySMS-index.php-Unauthenticated-Template-Injection-Code-Execution.html(Exploit, Third Party Advisory, VDB Entry)
- https://forum.playsms.org/t/playsms-1-4-3-has-been-released/2704(Broken Link, Release Notes, Vendor Advisory)
- https://playsms.org/2020/02/05/playsms-1-4-3-has-been-released/(Vendor Advisory)
- https://research.nccgroup.com/2020/02/11/technical-advisory-playsms-pre-authentication-remote-code-execution-cve-2020-8644/(Exploit)
- https://www.cisa.gov/known-exploited-vulnerabilities-catalog?field_cve=CVE-2020-8644(US Government Resource)
Schwachstellentyp
CWE-94: Unsachgemäße Kontrolle der Code-Generierung ('Code Injection')
Code Injection tritt auf, wenn Software Codesegmente unter Verwendung extern beeinflusster Eingaben konstruiert, ohne Spezialelemente ordnungsgemäß zu neutralisieren, die das beabsichtigte Codeverhalten ändern könnten. Im Fall von CVE-2020-8644 versäumt es PlaySMS, benutzerbereitgestellte Eingaben zu sanitisieren, was Angreifern ermöglicht, beliebigen serverseitigen Template-Code einzuschleusen und auszuführen — eine spezifische Form der Code Injection, bekannt als Server-Side Template Injection (SSTI).
Mehr erfahren: CWE-94 — Unsachgemäße Kontrolle der Code-Generierung ('Code Injection')
Auswirkungsanalyse
CVE-2020-8644 weist einen CVSS 3.1 Base Score von 9,8 (KRITISCH) auf, was maximale Schwere darstellt. Die Schwachstelle ist aus der Ferne über das Netzwerk mit niedriger Angriffskomplexität ausnutzbar, erfordert keine Authentifizierung und keine Benutzerinteraktion, was sie für jeden Angreifer trivial zugänglich macht, der die PlaySMS-Weboberfläche erreichen kann. Erfolgreiche Ausnutzung gewährt dem Angreifer vollständige Remote Code Execution auf dem Server mit hohen Auswirkungen auf Vertraulichkeit, Integrität und Verfügbarkeit — alle Daten auf dem System können zugegriffen werden, Anwendungen und Konfigurationen können geändert werden, und die Dienstverfügbarkeit kann vollständig unterbrochen werden. Der EPSS-Score von 94,00% platziert diese Schwachstelle im 99,89. Perzentil, was eine nahezu sichere aktive Ausnutzung anzeigt. Organisationen, die PlaySMS-Versionen vor 1.4.3 betreiben, sind einem unmittelbaren Risiko der vollständigen Serverkompromittierung ausgesetzt.
Exploit-Reifegrad
CVE-2020-8644 wird durch die Aufnahme in den CISA Known Exploited Vulnerabilities Katalog als aktiv ausgenutzt bestätigt. Öffentlicher Exploit-Code ist verfügbar für CVE-2020-8644 über Packet Storm Security, der unauthentifizierte Template Injection mit Codeausführung demonstriert. Zusätzliche technische Details und Exploit-Analysen sind von NCC Group Research verfügbar. Der EPSS-Score von 94,00% (99,89. Perzentil) zeigt eine nahezu sichere Ausnutzungsaktivität an. Die Verfügbarkeit von Pre-Authentication-Exploit-Code senkt die Hürde für Angreifer erheblich und macht diese Schwachstelle zu einer sofortigen Priorität für die Behebung.
Behebung
- Herstellerupdates sofort anwenden gemäß CISA-KEV-Vorgabe: Aktualisierungen gemäß Herstelleranweisungen durchführen. PlaySMS auf Version 1.4.3 oder höher aktualisieren, die diese Server-Side Template Injection Schwachstelle behebt.
- Überprüfen, dass alle PlaySMS-Deployments von verwundbaren Versionen (alle Versionen vor 1.4.3) auf die gepatchte Version aktualisiert wurden.
- Falls ein sofortiges Upgrade nicht möglich ist, den Netzwerkzugriff auf die PlaySMS-Weboberfläche einschränken, indem sie hinter einen Reverse Proxy mit IP-basierten Zugriffskontrollen gestellt wird, sodass nur autorisierte Benutzer die Anwendung erreichen können. Ungenutzte Funktionalität, die Benutzereingaben verarbeitet, deaktivieren oder entfernen.
- Webserver-Logs auf Indikatoren für Template-Injection-Versuche überwachen, einschließlich ungewöhnlicher Zeichen oder Code-Muster in Anfrageparametern. Systemlogs auf Anzeichen unbefugter Befehlsausführung oder unerwarteter Prozesserzeugung prüfen.
- Als langfristige Härtungsmaßnahme eine Web Application Firewall (WAF) mit Regeln zur Erkennung von Template-Injection-Mustern implementieren, das Least-Privilege-Prinzip auf den PlaySMS-Anwendungsprozess anwenden und eine Migration zu einer sandboxed Server-Side Template Engine in Betracht ziehen, die Codeausführungsfähigkeiten einschränkt.
Technische Details
CVE-2020-8644 ist eine Server-Side Template Injection (SSTI) Schwachstelle in PlaySMS vor Version 1.4.3. Die Anwendung versäumt es, Eingaben aus bösartigen Zeichenketten zu sanitisieren, was Angreifern ermöglicht, Template-Direktiven einzuschleusen, die von der serverseitigen Template Engine interpretiert und ausgeführt werden. Der CVSS-Vektor (CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H) bestätigt, dass die Schwachstelle ohne Authentifizierung, Privilegien oder Benutzerinteraktion aus der Ferne ausnutzbar ist, mit maximalen Auswirkungen über alle drei Sicherheitsdimensionen. Diese Schwachstelle wird unter CWE-94 (Code Injection) klassifiziert, da die Template Injection dem Angreifer effektiv die Ausführung beliebigen Codes im serverseitigen Kontext der Anwendung ermöglicht. Die Pre-Authentication-Natur dieser Schwachstelle ist besonders gefährlich, da Angreifer vollständige Remote Code Execution erreichen können, indem sie einfach manipulierte HTTP-Anfragen an den PlaySMS index.php-Endpunkt senden.
Häufig gestellte Fragen
Wird CVE-2020-8644 aktiv ausgenutzt?
Ja. CVE-2020-8644 ist im CISA Known Exploited Vulnerabilities Katalog gelistet, was eine aktive Ausnutzung in freier Wildbahn bestätigt. Der EPSS-Score von 94,00% (99,89. Perzentil) zeigt zudem eine nahezu sichere Ausnutzungsaktivität an, und mehrere öffentliche Exploits sind verfügbar, die Pre-Authentication Remote Code Execution demonstrieren.
Welche Produkte sind betroffen?
CVE-2020-8644 betrifft PlaySMS-Versionen vor 1.4.3. Alle Installationen, die frühere Versionen von PlaySMS verwenden, sind für diesen Server-Side Template Injection Angriff verwundbar.
Wie behebe ich CVE-2020-8644?
Aktualisieren Sie PlaySMS auf Version 1.4.3 oder höher, die diese Schwachstelle behebt. Falls ein sofortiges Upgrade nicht möglich ist, schränken Sie den Netzwerkzugriff auf die PlaySMS-Weboberfläche mittels Firewall-Regeln und Reverse-Proxy-Konfigurationen ein, um die Exposition zu begrenzen.
Wie schwerwiegend ist CVE-2020-8644?
CVE-2020-8644 hat einen CVSS 3.1 Base Score von 9,8 (KRITISCH) und einen EPSS-Score von 94,00% im 99,89. Perzentil. Dies ist eine Schwachstelle maximaler Schwere, die unauthentifizierte Remote Code Execution ermöglicht und sofortige Behebung erfordert.
Hilfe beim Schwachstellenmanagement?
Unsere Sicherheitsexperten helfen Ihnen bei der Priorisierung und Behebung von Schwachstellen.