CVE-2021-20022
SonicWall Email Security Unrestricted Upload of File Vulnerability
Beschreibung
CVE-2021-20022 ist eine hochkritische Schwachstelle für uneingeschränkten Datei-Upload in SonicWall Email Security Version 10.0.9.x. Die Schwachstelle ermöglicht es einem authentifizierten Angreifer mit Administratorrechten, beliebige Dateien auf den Zielhost hochzuladen, einschließlich potenziell schädlicher Web-Shells oder anderer ausführbarer Dateien, die Remote-Code-Ausführung ermöglichen. CISA hat CVE-2021-20022 in den Katalog der bekannten ausgenutzten Schwachstellen (KEV) aufgenommen und damit die aktive Ausnutzung bestätigt. Diese Schwachstelle wird nachweislich in Ransomware-Kampagnen eingesetzt. Mit einem EPSS-Score von 20,02 % (95,39. Perzentil) ist die Ausnutzungswahrscheinlichkeit signifikant. Die Schwachstelle wird häufig als Teil einer Angriffskette zusammen mit CVE-2021-20021 (Erstellung von Administratorkonten) und CVE-2021-20023 (Path Traversal) ausgenutzt, um eine vollständige Systemkompromittierung von SonicWall-Email-Security-Appliances zu erreichen.
KEV-Informationen
CVSS-Score
CVSS:3.1/AV:N/AC:L/PR:H/UI:N/S:U/C:H/I:H/A:HIm Rechner öffnenBetroffene Produkte
| Hersteller | Produkt | Version |
|---|---|---|
| sonicwall | email security | < 10.0.9.6103 |
| sonicwall | email security appliance 9000 firmware | < 10.0.9.6105 |
| sonicwall | email security appliance 3300 firmware | < 10.0.9.6105 |
| sonicwall | email security appliance 4300 firmware | < 10.0.9.6105 |
| sonicwall | email security appliance 8300 firmware | < 10.0.9.6105 |
| sonicwall | email security appliance 5000 firmware | < 10.0.9.6105 |
| sonicwall | email security appliance 7000 firmware | < 10.0.9.6105 |
| sonicwall | email security appliance 5050 firmware | < 10.0.9.6105 |
| sonicwall | email security appliance 7050 firmware | < 10.0.9.6105 |
| sonicwall | email security virtual appliance | < 10.0.9.6105 |
| sonicwall | hosted email security | < 10.0.9.6103 |
Mehrere CVSS-Bewertungen
CVSS:3.1/AV:N/AC:L/PR:H/UI:N/S:U/C:H/I:H/A:H
CVSS:3.1/AV:N/AC:L/PR:H/UI:N/S:U/C:H/I:H/A:H
Referenzen
- https://psirt.global.sonicwall.com/vuln-detail/SNWLID-2021-0008(Vendor Advisory)
- https://www.cisa.gov/known-exploited-vulnerabilities-catalog?field_cve=CVE-2021-20022(US Government Resource)
Schwachstellentyp
CWE-434: Uneingeschränkter Upload von Dateien mit gefährlichem Typ
Uneingeschränkter Datei-Upload tritt auf, wenn Software Benutzern erlaubt, Dateien hochzuladen, ohne die Dateitypen ordnungsgemäß zu validieren oder einzuschränken. Im Fall von SonicWall Email Security ermöglicht diese Schwäche einem authentifizierten Angreifer mit Administratorrechten, Dateien mit gefährlichem Inhalt wie Web-Shells oder Skripte hochzuladen, die auf dem Server ausgeführt werden können und direkte Codeausführungsmöglichkeiten auf dem Zielsystem bieten.
Mehr erfahren: CWE-434 — Uneingeschränkter Upload von Dateien mit gefährlichem Typ
Auswirkungsanalyse
CVE-2021-20022 hat einen CVSS-3.1-Score von 7,2 (HIGH) und stellt eine ernsthafte Bedrohung für Organisationen dar, die SonicWall Email Security verwenden. Die Schwachstelle ist über das Netzwerk mit geringer Angriffskomplexität ausnutzbar, erfordert jedoch eine Authentifizierung mit hohen Rechten (Administratorzugang) und keine Benutzerinteraktion. Eine erfolgreiche Ausnutzung führt zu hohen Auswirkungen auf Vertraulichkeit, Integrität und Verfügbarkeit, da ein Angreifer mit administrativem Zugang schädliche Dateien einschließlich Web-Shells hochladen kann, um persistente Remote-Code-Ausführung zu erreichen. Der EPSS-Score von 20,02 % platziert diese Schwachstelle im 95,39. Perzentil, was auf signifikante Ausnutzungsaktivität hinweist. Diese Schwachstelle wird nachweislich in Ransomware-Kampagnen eingesetzt und ist am gefährlichsten in Kombination mit CVE-2021-20021, die die unautorisierte Erstellung von Administratorkonten ohne Authentifizierung ermöglicht.
Exploit-Reifegrad
CISA hat die aktive Ausnutzung von CVE-2021-20022 durch die Aufnahme in den KEV-Katalog bestätigt, mit einer Behebungsfrist bis zum 17.11.2021. Diese Schwachstelle wird nachweislich in Ransomware-Kampagnen eingesetzt, was die Dringlichkeit der Behebung erheblich erhöht. Der EPSS-Score von 20,02 % weist auf eine signifikante Ausnutzungswahrscheinlichkeit hin. CVE-2021-20022 wird typischerweise als Teil einer dreistufigen Angriffskette ausgenutzt: Zunächst wird CVE-2021-20021 verwendet, um ohne Authentifizierung ein unautorisiertes Administratorkonto zu erstellen; dann wird CVE-2021-20022 genutzt, um eine Web-Shell oder andere schädliche Nutzlast hochzuladen; schließlich ermöglicht CVE-2021-20023 das Lesen sensibler Dateien vom System zur Datenexfiltration.
Behebung
- Updates sofort anwenden gemäß CISA-KEV-Anforderung: Aktualisieren Sie SonicWall Email Security auf Version 10.0.9.6103 oder höher für virtuelle Bereitstellungen und auf Version 10.0.9.6105 oder höher für Hardware-Appliances (Modelle 3300, 4300, 5000, 5050, 7000, 7050, 8300, 9000).
- Überprüfen Sie, ob alle SonicWall-Email-Security-Instanzen gepatcht wurden. Beheben Sie unbedingt auch CVE-2021-20021 und CVE-2021-20023, die zusammen die vollständige Exploit-Kette bilden.
- Falls eine sofortige Aktualisierung nicht möglich ist, implementieren Sie strikte Upload-Validierung einschließlich Whitelist-basierter Dateityp-Einschränkungen, benennen Sie hochgeladene Dateien um, um die Ausführung zu verhindern, und speichern Sie Uploads an Orten, die keine Skripte ausführen können. Beschränken Sie den Zugriff auf die Verwaltungsoberfläche auf vertrauenswürdige Netzwerke.
- Überwachen Sie auf Kompromittierungsindikatoren, einschließlich neu hochgeladener verdächtiger Dateien (insbesondere Web-Shells), unerwarteter Administratorkonten und ungewöhnlicher ausgehender Netzwerkverbindungen. Scannen Sie das Dateisystem auf bekannte Web-Shell-Signaturen.
- Langfristig implementieren Sie Defense-in-Depth für Datei-Uploads: Validieren Sie Dateiinhalte anhand von Magic Bytes statt nur Erweiterungen, verwenden Sie eine separate Domain für die Auslieferung hochgeladener Inhalte und führen Sie regelmäßige Sicherheitsaudits der Upload-Funktionalität durch.
Technische Details
CVE-2021-20022 nutzt eine Schwachstelle für uneingeschränkten Datei-Upload in SonicWall Email Security Version 10.0.9.x aus, bei der die Anwendung Dateitypen während Upload-Operationen nicht ordnungsgemäß validiert und einschränkt. Ein authentifizierter Angreifer mit Administratorrechten kann beliebige Dateien, einschließlich ausführbarer Skripte und Web-Shells, auf den Server hochladen. Der CVSS-Vektorstring (CVSS:3.1/AV:N/AC:L/PR:H/UI:N/S:U/C:H/I:H/A:H) bestätigt, dass die Schwachstelle zwar eine Authentifizierung mit hohen Rechten erfordert, die Ausnutzung aber ohne besondere Bedingungen möglich ist und die Auswirkung eine vollständige Kompromittierung von Vertraulichkeit, Integrität und Verfügbarkeit umfasst. Die Anforderung hoher Privilegien wird effektiv aufgehoben, wenn diese Schwachstelle mit CVE-2021-20021 verkettet wird, die die unautorisierte Erstellung von Administratorkonten ermöglicht. Die Schwachstelle betrifft das gleiche Spektrum von SonicWall-Produkten einschließlich Email Security Software, Hardware-Appliances, Virtual Appliances und Hosted-Bereitstellungen.
Häufig gestellte Fragen
Wird CVE-2021-20022 aktiv ausgenutzt?
Ja. CVE-2021-20022 ist im CISA-Katalog der bekannten ausgenutzten Schwachstellen gelistet, was die aktive Ausnutzung bestätigt. Die Schwachstelle wird nachweislich in Ransomware-Kampagnen eingesetzt, typischerweise als Teil einer Exploit-Kette mit CVE-2021-20021 und CVE-2021-20023. Der EPSS-Score von 20,02 % (95,39. Perzentil) weist auf eine signifikante Ausnutzungswahrscheinlichkeit hin.
Welche Produkte sind von CVE-2021-20022 betroffen?
CVE-2021-20022 betrifft SonicWall Email Security Version 10.0.9.x, einschließlich der Software-Version (vor 10.0.9.6103), Hosted Email Security (vor 10.0.9.6103), Email Security Virtual Appliance (vor 10.0.9.6105) sowie alle Hardware-Appliance-Modelle 3300, 4300, 5000, 5050, 7000, 7050, 8300 und 9000 (vor Firmware 10.0.9.6105).
Wie behebe ich CVE-2021-20022?
Aktualisieren Sie SonicWall Email Security auf Version 10.0.9.6103 oder höher für Software- und Hosted-Bereitstellungen und auf Version 10.0.9.6105 oder höher für Hardware-Appliances. Stellen Sie sicher, dass auch CVE-2021-20021 und CVE-2021-20023 gepatcht werden, die die vollständige Exploit-Kette bilden.
Wie schwerwiegend ist CVE-2021-20022?
CVE-2021-20022 hat einen CVSS-3.1-Score von 7,2 (HIGH) und einen EPSS-Score im 95,39. Perzentil. Obwohl administrative Authentifizierung erforderlich ist, wird die Schwachstelle in Kombination mit CVE-2021-20021 ohne vorherige Anmeldedaten ausnutzbar und wird aktiv in Ransomware-Angriffen eingesetzt.
Hilfe beim Schwachstellenmanagement?
Unsere Sicherheitsexperten helfen Ihnen bei der Priorisierung und Behebung von Schwachstellen.