CVE-2021-20023
SonicWall Email Security Path Traversal Vulnerability
Beschreibung
CVE-2021-20023 ist eine mittelkritische Path-Traversal-Schwachstelle in SonicWall Email Security Version 10.0.9.x. Die Schwachstelle ermöglicht es einem authentifizierten Angreifer mit Administratorrechten, beliebige Dateien auf dem Zielhost zu lesen, indem eine unsachgemäße Beschränkung des Dateipfadzugriffs ausgenutzt wird. CISA hat CVE-2021-20023 in den Katalog der bekannten ausgenutzten Schwachstellen (KEV) aufgenommen und damit die aktive Ausnutzung bestätigt. Diese Schwachstelle wird nachweislich in Ransomware-Kampagnen eingesetzt. Mit einem EPSS-Score von 48,57 % (97,70. Perzentil) ist die Ausnutzungswahrscheinlichkeit hoch. CVE-2021-20023 wird häufig als letzte Stufe einer Angriffskette zusammen mit CVE-2021-20021 (Erstellung von Administratorkonten) und CVE-2021-20022 (beliebiger Datei-Upload) ausgenutzt, um eine vollständige Kompromittierung und Datenexfiltration auf SonicWall-Email-Security-Appliances zu erreichen.
KEV-Informationen
CVSS-Score
CVSS:3.1/AV:N/AC:L/PR:H/UI:N/S:U/C:H/I:N/A:NIm Rechner öffnenBetroffene Produkte
| Hersteller | Produkt | Version |
|---|---|---|
| sonicwall | email security | < 10.0.9.6173 |
| sonicwall | email security appliance 9000 firmware | < 10.0.9.6177 |
| sonicwall | email security appliance 3300 firmware | < 10.0.9.6177 |
| sonicwall | email security appliance 4300 firmware | < 10.0.9.6177 |
| sonicwall | email security appliance 8300 firmware | < 10.0.9.6177 |
| sonicwall | email security appliance 5000 firmware | < 10.0.9.6177 |
| sonicwall | email security appliance 7000 firmware | < 10.0.9.6177 |
| sonicwall | email security appliance 5050 firmware | < 10.0.9.6177 |
| sonicwall | email security appliance 7050 firmware | < 10.0.9.6177 |
| sonicwall | email security virtual appliance | < 10.0.9.6177 |
| sonicwall | hosted email security | < 10.0.9.6173 |
Mehrere CVSS-Bewertungen
CVSS:3.1/AV:N/AC:L/PR:H/UI:N/S:U/C:H/I:N/A:N
CVSS:3.1/AV:N/AC:L/PR:H/UI:N/S:U/C:H/I:N/A:N
Referenzen
- https://psirt.global.sonicwall.com/vuln-detail/SNWLID-2021-0010(Vendor Advisory)
- https://www.cisa.gov/known-exploited-vulnerabilities-catalog?field_cve=CVE-2021-20023(US Government Resource)
Schwachstellentyp
CWE-22: Unsachgemäße Beschränkung eines Pfadnamens auf ein eingeschränktes Verzeichnis ('Path Traversal')
Path Traversal tritt auf, wenn Software externe Eingaben verwendet, um Dateipfade zu konstruieren, ohne spezielle Elemente wie ".." ordnungsgemäß zu neutralisieren, die das beabsichtigte Verzeichnis verlassen können. Im Fall von SonicWall Email Security ermöglicht diese Schwäche einem authentifizierten Angreifer mit Administratorrechten, Dateipfadparameter zu manipulieren, um beliebige Dateien außerhalb des eingeschränkten Verzeichnisses zu lesen, was potenziell sensible Konfigurationsdaten, Anmeldedaten und Systemdateien offenlegt.
Mehr erfahren: CWE-22 — Path Traversal
Auswirkungsanalyse
CVE-2021-20023 hat einen CVSS-3.1-Score von 4,9 (MEDIUM), was auf eine moderate Bedrohung als Einzelschwachstelle hinweist, obwohl die reale Auswirkung erheblich verstärkt wird, wenn sie als Teil einer Exploit-Kette eingesetzt wird. Die Schwachstelle ist über das Netzwerk mit geringer Angriffskomplexität ausnutzbar, erfordert eine Authentifizierung mit hohen Rechten und keine Benutzerinteraktion. Die Vertraulichkeitsauswirkung ist als HIGH eingestuft, während Integrität und Verfügbarkeit unberührt bleiben — ein Angreifer kann sensible Dateien lesen, aber nicht ändern oder den Dienst stören. Der EPSS-Score von 48,57 % platziert diese Schwachstelle im 97,70. Perzentil, was auf hohe Ausnutzungsaktivität hinweist. Diese Schwachstelle wird nachweislich in Ransomware-Kampagnen eingesetzt und dient als Datenexfiltrations-Komponente in der SonicWall-Email-Security-Exploit-Kette, die Angreifern ermöglicht, Anmeldedaten, Konfigurationsdateien und andere sensible Daten von kompromittierten Appliances zu extrahieren.
Exploit-Reifegrad
CISA hat die aktive Ausnutzung von CVE-2021-20023 durch die Aufnahme in den KEV-Katalog bestätigt, mit einer Behebungsfrist bis zum 17.11.2021. Diese Schwachstelle wird nachweislich in Ransomware-Kampagnen eingesetzt, was die Dringlichkeit der Behebung erheblich erhöht. Der EPSS-Score von 48,57 % weist auf eine hohe Ausnutzungswahrscheinlichkeit hin. CVE-2021-20023 fungiert als dritte Stufe einer gut dokumentierten Angriffskette: CVE-2021-20021 erstellt ein unautorisiertes Administratorkonto, CVE-2021-20022 lädt eine schädliche Nutzlast wie eine Web-Shell hoch, und CVE-2021-20023 liest sensible Dateien vom System, um Anmeldedaten und Konfigurationsdaten für laterale Bewegung und weitere Kompromittierung zu extrahieren.
Behebung
- Updates sofort anwenden gemäß CISA-KEV-Anforderung: Aktualisieren Sie SonicWall Email Security auf Version 10.0.9.6173 oder höher für virtuelle Bereitstellungen und auf Version 10.0.9.6177 oder höher für Hardware-Appliances (Modelle 3300, 4300, 5000, 5050, 7000, 7050, 8300, 9000).
- Überprüfen Sie, ob alle SonicWall-Email-Security-Instanzen gepatcht wurden. Beheben Sie unbedingt auch CVE-2021-20021 und CVE-2021-20022, die zusammen die vollständige Exploit-Kette bilden.
- Falls eine sofortige Aktualisierung nicht möglich ist, beschränken Sie den Netzwerkzugriff auf die SonicWall-Email-Security-Verwaltungsoberfläche auf vertrauenswürdige administrative Netzwerke und implementieren Sie strikte Eingabevalidierung für Dateipfadparameter, um Directory-Traversal-Sequenzen zu verhindern.
- Überwachen Sie auf Kompromittierungsindikatoren, einschließlich ungewöhnlicher Dateizugriffsmuster, Versuche, Systemdateien wie /etc/passwd oder Konfigurationsdateien zu lesen, und Anzeichen von Datenexfiltration. Prüfen Sie Zugriffslogs auf verdächtige authentifizierte Sitzungen, die auf Datei-Download-Endpunkte zugreifen.
- Langfristig implementieren Sie kanonische Pfadvalidierung, um sicherzustellen, dass alle Dateizugriffe innerhalb des beabsichtigten Verzeichnisses aufgelöst werden, verwenden Sie indirekte Dateireferenzen anstelle von benutzerseitigen Pfaden und führen Sie die Anwendung mit minimalen Dateisystemberechtigungen aus.
Technische Details
CVE-2021-20023 nutzt eine Path-Traversal-Schwachstelle in SonicWall Email Security Version 10.0.9.x aus, bei der die Anwendung Dateipfadeingaben nicht ordnungsgemäß einschränkt und einem authentifizierten Angreifer mit Administratorrechten ermöglicht, Directory-Traversal-Sequenzen (wie „../") zu verwenden, um das beabsichtigte Verzeichnis zu verlassen und beliebige Dateien auf dem System zu lesen. Der CVSS-Vektorstring (CVSS:3.1/AV:N/AC:L/PR:H/UI:N/S:U/C:H/I:N/A:N) bestätigt, dass die Schwachstelle netzwerkbasiert mit geringer Komplexität ausnutzbar ist, eine Authentifizierung mit hohen Rechten erfordert und nur die Vertraulichkeit beeinträchtigt, ohne Auswirkungen auf Integrität oder Verfügbarkeit. Die Anforderung hoher Privilegien wird effektiv umgangen, wenn die Schwachstelle mit CVE-2021-20021 verkettet wird, die die unautorisierte Erstellung von Administratorkonten ermöglicht. Die Schwachstelle betrifft mehrere SonicWall-Produkte mit unterschiedlichen Patch-Versionen: Email Security Software und Hosted Email Security erfordern Version 10.0.9.6173 oder höher, während Hardware-Appliances (3300, 4300, 5000, 5050, 7000, 7050, 8300, 9000) und Virtual Appliances Version 10.0.9.6177 oder höher erfordern.
Häufig gestellte Fragen
Wird CVE-2021-20023 aktiv ausgenutzt?
Ja. CVE-2021-20023 ist im CISA-Katalog der bekannten ausgenutzten Schwachstellen gelistet, was die aktive Ausnutzung bestätigt. Die Schwachstelle wird nachweislich in Ransomware-Kampagnen eingesetzt, typischerweise als Datenexfiltrations-Stufe einer Exploit-Kette mit CVE-2021-20021 und CVE-2021-20022. Der EPSS-Score von 48,57 % (97,70. Perzentil) weist auf eine hohe Ausnutzungswahrscheinlichkeit hin.
Welche Produkte sind von CVE-2021-20023 betroffen?
CVE-2021-20023 betrifft SonicWall Email Security Version 10.0.9.x, einschließlich der Software-Version (vor 10.0.9.6173), Hosted Email Security (vor 10.0.9.6173), Email Security Virtual Appliance (vor 10.0.9.6177) sowie alle Hardware-Appliance-Modelle 3300, 4300, 5000, 5050, 7000, 7050, 8300 und 9000 (vor Firmware 10.0.9.6177).
Wie behebe ich CVE-2021-20023?
Aktualisieren Sie SonicWall Email Security auf Version 10.0.9.6173 oder höher für Software- und Hosted-Bereitstellungen und auf Version 10.0.9.6177 oder höher für Hardware-Appliances und Virtual Appliances. Patchen Sie auch CVE-2021-20021 und CVE-2021-20022, die die vollständige Exploit-Kette bilden.
Wie schwerwiegend ist CVE-2021-20023?
CVE-2021-20023 hat einen CVSS-3.1-Score von 4,9 (MEDIUM), aber die reale Schwere ist höher, wenn die Schwachstelle in Kombination mit CVE-2021-20021 und CVE-2021-20022 in einer Exploit-Kette eingesetzt wird. Der EPSS-Score liegt im 97,70. Perzentil und die Schwachstelle wird aktiv in Ransomware-Kampagnen zur Datenexfiltration eingesetzt.
Hilfe beim Schwachstellenmanagement?
Unsere Sicherheitsexperten helfen Ihnen bei der Priorisierung und Behebung von Schwachstellen.