CVE-2021-21311
Adminer Server-Side Request Forgery Vulnerability
Beschreibung
CVE-2021-21311 ist eine Server-Side Request Forgery (SSRF)-Schwachstelle in Adminer, einem weit verbreiteten Open-Source-Datenbankverwaltungstool in einer einzelnen PHP-Datei. Die Schwachstelle betrifft Adminer-Versionen ab 4.0.0 bis vor 4.7.9 und ermoeglicht es einem Angreifer, den Server dazu zu bringen, manipulierte Anfragen an interne Dienste oder Netzwerkressourcen zu senden. Betroffen sind insbesondere Installationen, die alle Datenbanktreiber buendeln (z.B. adminer.php).
Die CISA hat CVE-2021-21311 in den KEV-Katalog aufgenommen, mit einer Behebungsfrist bis zum 20. Oktober 2025. Der ausserordentlich hohe EPSS-Score von 94.21 % (99. Perzentil) zeigt, dass diese Schwachstelle zu den am intensivsten ausgenutzten Schwachstellen weltweit gehoert. Ein oeffentlicher Exploit ist verfuegbar, was die Dringlichkeit einer Behebung erheblich erhoeht.
KEV-Informationen
CVSS-Score
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:L/I:L/A:NIm Rechner öffnenBetroffene Produkte
| Hersteller | Produkt | Version |
|---|---|---|
| adminer | adminer | >= 4.0.0, < 4.7.9 |
| debian | debian linux | 9.0 |
Mehrere CVSS-Bewertungen
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:L/I:L/A:N
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:L/I:L/A:N
Referenzen
- https://github.com/vrana/adminer/commit/ccd2374b0b12bd547417bf0dacdf153826c83351(Patch)
- https://github.com/vrana/adminer/files/5957311/Adminer.SSRF.pdf(Exploit, Third Party Advisory)
- https://github.com/vrana/adminer/security/advisories/GHSA-x5r2-hj5c-8jx6(Patch, Third Party Advisory)
- https://lists.debian.org/debian-lts-announce/2021/03/msg00002.html(Mailing List, Third Party Advisory)
- https://packagist.org/packages/vrana/adminer(Product, Third Party Advisory)
- https://www.cisa.gov/known-exploited-vulnerabilities-catalog?field_cve=CVE-2021-21311(US Government Resource)
Schwachstellentyp
CWE-918: Server-Side Request Forgery (SSRF)
CVE-2021-21311 basiert auf CWE-918 (Server-Side Request Forgery), einer Schwachstellenklasse, bei der eine Anwendung vom Benutzer bereitgestellte URLs verwendet, um serverseitige HTTP-Anfragen auszufuehren, ohne diese ausreichend zu validieren. In Adminer kann ein Angreifer die Datenbankverbindungsfunktion missbrauchen, um den Server dazu zu bringen, Anfragen an interne Netzwerkressourcen zu senden, die von aussen nicht erreichbar waeren.
Weitere Informationen: CWE-918 -- Server-Side Request Forgery (SSRF)
Auswirkungsanalyse
Die Auswirkungen von CVE-2021-21311 sind trotz des CVSS v3.1-Scores von 6.5 (MEDIUM) aufgrund des Scope-Wechsels (S:C) nicht zu unterschaetzen. Die Schwachstelle ist ueber das Netzwerk ausnutzbar (AV:N) mit niedriger Angriffskomplexitaet (AC:L) und erfordert keine Authentifizierung (PR:N) sowie keine Benutzerinteraktion (UI:N). Vertraulichkeit (Low): Ueber die SSRF-Schwachstelle kann ein Angreifer interne Dienste scannen und auf Metadaten-Endpunkte von Cloud-Anbietern zugreifen, was zur Offenlegung von Zugangsdaten und Konfigurationsinformationen fuehren kann. Integritaet (Low): Der Angreifer kann manipulierte Anfragen an interne Dienste senden, die moeglicherweise keine Authentifizierung fuer interne Zugriffe erfordern, und so administrative Aktionen ausloesen. Der ausserordentlich hohe EPSS-Score von 94.21 % im 99. Perzentil zeigt, dass diese Schwachstelle zu den am staerksten ausgenutzten ueberhaupt gehoert -- in praktisch allen exponierten Adminer-Installationen ist mit Angriffsversuchen zu rechnen.
Exploit-Reifegrad
CVE-2021-21311 weist eine sehr hohe Exploit-Reife auf. Oeffentlicher Exploit-Code ist verfuegbar fuer CVE-2021-21311 ueber ein Exploit-PDF auf GitHub, das die Ausnutzung der SSRF-Schwachstelle detailliert beschreibt. Die CISA hat die Schwachstelle im KEV-Katalog als aktiv ausgenutzt gefuehrt, mit einer Behebungsfrist bis zum 20. Oktober 2025. Der EPSS-Score von 94.21 % (99. Perzentil) ist ausserordentlich hoch und zeigt nahezu sichere Ausnutzungsaktivitaet -- diese Schwachstelle gehoert damit zu den Top 1 % der am intensivsten ausgenutzten Schwachstellen weltweit. Der Ransomware-Status ist als Unknown klassifiziert, jedoch kann die SSRF-Schwachstelle als Einstiegspunkt fuer weitergehende Angriffe auf interne Infrastruktur dienen.
Behebung
-
Adminer auf Version 4.7.9 oder hoeher aktualisieren: Die Schwachstelle wurde in Adminer 4.7.9 behoben. Ersetzen Sie die betroffene adminer.php-Datei umgehend durch die gepatchte Version. Der Patch auf GitHub zeigt die vorgenommenen Aenderungen.
-
Zugriff auf Adminer einschraenken: Stellen Sie sicher, dass Adminer nicht oeffentlich ueber das Internet erreichbar ist. Beschraenken Sie den Zugriff ueber IP-basierte Firewall-Regeln oder HTTP-Authentifizierung auf bekannte Administratoren.
-
Web Application Firewall konfigurieren: Setzen Sie WAF-Regeln ein, die verdaechtige Anfragen an Adminer erkennen und blockieren, insbesondere Anfragen, die auf interne Netzwerkadressen (127.0.0.1, 169.254.169.254, 10.x.x.x) verweisen.
-
Interne Netzwerksegmentierung pruefen: Stellen Sie sicher, dass der Server, auf dem Adminer laeuft, keinen uneingeschraenkten Zugriff auf interne Dienste hat. Beschraenken Sie ausgehende Verbindungen auf die tatsaechlich benoetigten Datenbank-Server.
-
Audit bestehender Installationen: Suchen Sie in Ihrer gesamten Infrastruktur nach Adminer-Installationen (auch versteckte oder vergessene Instanzen). Ueberpruefen Sie Server-Logs auf Anzeichen einer vergangenen Ausnutzung, insbesondere auf Anfragen mit internen IP-Adressen als Verbindungsziel.
Technische Details
CVE-2021-21311 betrifft die Datenbankverbindungsfunktion von Adminer in Versionen ab 4.0.0 bis vor 4.7.9. Der CVSS-Vektor CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:L/I:L/A:N zeigt, dass der Angriff ueber das Netzwerk (AV:N) mit niedriger Komplexitaet (AC:L) und ohne Authentifizierung (PR:N) durchfuehrbar ist. Die Schwachstelle basiert auf einer unzureichenden Validierung von Server-Adressen in der Datenbankverbindungsfunktion. Wenn ein Benutzer eine Datenbankverbindung konfiguriert, sendet Adminer eine Anfrage an den angegebenen Server. Ein Angreifer kann diese Funktion missbrauchen, indem er eine interne Netzwerkadresse oder einen Cloud-Metadaten-Endpunkt als Datenbankserver angibt. Der Server fuehrt die Anfrage im Kontext seiner eigenen Netzwerkidentitaet aus und umgeht damit Firewalls und Zugriffsbeschraenkungen. Der Scope ist als Changed (S:C) eingestuft, da Ressourcen ausserhalb der Adminer-Anwendung betroffen sein koennen -- insbesondere interne Dienste und Cloud-Metadaten-APIs. Besonders betroffen sind Installationen, die alle Datenbanktreiber buendeln (adminer.php statt treiberspezifischer Varianten), da diese mehr Angriffsvektoren bieten.
Häufig gestellte Fragen
Wird CVE-2021-21311 aktiv ausgenutzt?
Ja, CVE-2021-21311 wird sehr aktiv ausgenutzt. Die CISA hat die Schwachstelle in den KEV-Katalog aufgenommen und ein oeffentlicher Exploit ist auf GitHub verfuegbar. Der EPSS-Score von 94.21 % (99. Perzentil) zeigt nahezu sichere Ausnutzungsaktivitaet -- praktisch jede exponierte Adminer-Installation wird angegriffen.
Welche Produkte sind von CVE-2021-21311 betroffen?
Betroffen sind Adminer-Versionen ab 4.0.0 bis vor 4.7.9, insbesondere Installationen, die alle Datenbanktreiber buendeln (adminer.php). Auch Debian Linux 9.0 ist betroffen, da Adminer in den Paketquellen enthalten war. Die Schwachstelle wurde in Adminer 4.7.9 behoben.
Wie behebe ich CVE-2021-21311?
Aktualisieren Sie Adminer umgehend auf Version 4.7.9 oder hoeher. Da Adminer aus einer einzelnen PHP-Datei besteht, genuegt der Austausch der adminer.php-Datei. Stellen Sie zudem sicher, dass Adminer nicht oeffentlich erreichbar ist.
Wie schwerwiegend ist CVE-2021-21311?
Mit einem CVSS-Score von 7.2 (HIGH) und einem EPSS-Score von 94.21 % (99. Perzentil) ist diese Schwachstelle als aeusserst schwerwiegend einzustufen. Der Scope-Wechsel (Changed) bedeutet, dass ueber Adminer auch interne Netzwerkressourcen kompromittiert werden koennen, die eigentlich nicht von aussen erreichbar sind.
Hilfe beim Schwachstellenmanagement?
Unsere Sicherheitsexperten helfen Ihnen bei der Priorisierung und Behebung von Schwachstellen.