CVE-2021-27561
Yealink Device Management Server-Side Request Forgery (SSRF) Vulnerability
Beschreibung
CVE-2021-27561 ist eine kritische Command-Injection-Schwachstelle in Yealink Device Management (DM) Version 3.6.0.20 und früher. Die Schwachstelle befindet sich im URI /sm/api/v1/firewall/zone/services, der es nicht authentifizierten Angreifern ermöglicht, beliebige Betriebssystembefehle als Root ohne jegliche Authentifizierung einzuschleusen und auszuführen. Diese CVE-2021-27561-Schwachstelle wurde in den CISA-Katalog bekannter ausgenutzter Schwachstellen aufgenommen, was aktive Ausnutzung in freier Wildbahn bestätigt. Mit einem CVSS-Score von 9,8 (KRITISCH) und einem EPSS-Score von 94,11 % (99,9. Perzentil) stellt diese Command-Injection-Schwachstelle in der Yealink-Device-Management-Plattform ein extremes Risiko für Organisationen dar, die diese Enterprise-Telefon-Management-Lösung verwenden.
KEV-Informationen
CVSS-Score
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:HIm Rechner öffnenBetroffene Produkte
| Hersteller | Produkt | Version |
|---|---|---|
| yealink | device management | <= 3.6.0.20 |
Mehrere CVSS-Bewertungen
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
Referenzen
- https://ssd-disclosure.com/?p=4688(Third Party Advisory)
- https://www.cisa.gov/known-exploited-vulnerabilities-catalog?field_cve=CVE-2021-27561(US Government Resource)
Schwachstellentyp
CWE-78: Unsachgemäße Neutralisierung von Spezialelementen in einem OS-Befehl (‘OS Command Injection’)
Die Yealink-Device-Management-Plattform versagt bei der ordnungsgemäßen Neutralisierung von Spezialelementen in Benutzereingaben, die über die Firewall-Zone-Services-API empfangen werden, bevor sie in Betriebssystembefehle eingebunden werden. Da der API-Endpunkt keine Authentifizierung erfordert, kann jeder Angreifer mit Netzwerkzugriff Shell-Metazeichen einschleusen, um beliebige Befehle mit Root-Privilegien auf dem zugrundeliegenden Server auszuführen, was zu einer vollständigen Systemkompromittierung führt.
Mehr erfahren: CWE-78 — Unsachgemäße Neutralisierung von Spezialelementen in einem OS-Befehl (‘OS Command Injection’)
Auswirkungsanalyse
CVE-2021-27561 weist den nahezu maximalen CVSS-3.1-Score von 9,8 (KRITISCH) auf, der die extreme Schwere dieser Schwachstelle widerspiegelt. Die Schwachstelle ist über das Netzwerk aus der Ferne ausnutzbar, mit niedriger Angriffskomplexität, erfordert keine Authentifizierung und keine Benutzerinteraktion, was sie für jeden Angreifer mit Netzwerkzugriff auf die Yealink-Device-Management-Plattform trivial ausnutzbar macht. Vertraulichkeit (Hoch): Befehlsausführung auf Root-Ebene ermöglicht vollständigen Zugriff auf alle Daten im System, einschließlich Geräte-Anmeldedaten, Konfigurationsdaten und potenziell VoIP-Anrufaufzeichnungen. Integrität (Hoch): Beliebige Befehle können Systemdateien modifizieren, Backdoors installieren und Gerätemanagement-Konfigurationen ändern. Verfügbarkeit (Hoch): Angreifer können die gesamte Telefon-Management-Infrastruktur stören und alle verwalteten Yealink-Geräte beeinträchtigen. Der EPSS-Score von 94,11 % (99,9. Perzentil) deutet auf nahezu sichere Ausnutzungsaktivität hin und platziert dies unter den am aktivsten angegriffenen Schwachstellen.
Exploit-Reifegrad
CISA hat die aktive Ausnutzung von CVE-2021-27561 in freier Wildbahn bestätigt, indem die Schwachstelle in den Katalog bekannter ausgenutzter Schwachstellen aufgenommen wurde, mit einer dringenden Behebungsfrist bis zum 17.11.2021 (nur zwei Wochen nach Aufnahme). Der EPSS-Score von 94,11 % (99,9. Perzentil) deutet auf nahezu sichere Ausnutzungsaktivität hin. Obwohl kein öffentlicher Proof-of-Concept-Exploit in den unmittelbaren Referenzen identifiziert wurde, wurden die Schwachstellendetails von SSD Disclosure veröffentlicht, was ausreichend technische Informationen für Angreifer zur Entwicklung von Exploits liefert. Die Kombination aus nicht authentifiziertem Zugriff, Befehlsausführung auf Root-Ebene und einem einfachen API-Endpunkt macht diese Schwachstelle extrem attraktiv für Bedrohungsakteure, die Enterprise-Kommunikationsinfrastruktur angreifen.
Behebung
- Vendor-Patches sofort anwenden gemäß CISA-KEV-Anforderung: Updates gemäß Herstelleranweisungen einspielen. Die Yealink-Device-Management-Plattform muss über Version 3.6.0.20 hinaus auf eine gepatchte Version aktualisiert werden.
- Wenn sofortiges Patchen nicht möglich ist, den Netzwerkzugriff auf die Yealink-Device-Management-Plattform mittels Firewall-Regeln einschränken. Die Management-Oberfläche sollte nur aus vertrauenswürdigen administrativen Netzwerken erreichbar sein und niemals dem Internet ausgesetzt werden.
- Den Zugriff auf den anfälligen API-Endpunkt /sm/api/v1/firewall/zone/services auf Netzwerkebene mittels WAF oder Reverse Proxy blockieren, bis Patches angewendet werden können. Eingabevalidierungsregeln implementieren, die Anfragen mit Shell-Metazeichen ablehnen.
- Eine gründliche Kompromittierungsbewertung auf Systemen durchführen, die Yealink Device Management ausführen: Systemprotokolle auf unerwartete Befehlsausführung überprüfen, auf unbefugte Benutzerkonten oder SSH-Schlüssel prüfen, laufende Prozesse auf verdächtige Aktivität untersuchen und verwaltete Gerätekonfigurationen auf unbefugte Änderungen auditieren.
- Als langfristige Maßnahme die Device-Management-Plattform vom Rest des Netzwerks segmentieren, strenge Zugriffskontrollen implementieren und die API auf anomale Anfragemuster überwachen. Sicherstellen, dass die Management-Plattform wo möglich nicht mit Root-Privilegien läuft.
Technische Details
CVE-2021-27561 ist eine OS-Command-Injection-Schwachstelle (CWE-78) in der Yealink Device Management (DM)-Plattform Version 3.6.0.20. Die Schwachstelle befindet sich im API-Endpunkt /sm/api/v1/firewall/zone/services, der keine Authentifizierung erfordert und benutzerseitige Eingaben nicht bereinigt, bevor sie an die Betriebssystem-Shell übergeben werden. Der CVSS-Vektor (CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H) bestätigt, dass der Angriff keine Privilegien und keine Benutzerinteraktion erfordert, mit maximaler Auswirkung auf Vertraulichkeit, Integrität und Verfügbarkeit. Die eingeschleusten Befehle werden mit Root-Privilegien ausgeführt, was dem Angreifer die höchste Zugriffsebene auf das zugrundeliegende System gewährt. Die Kombination aus einem nicht authentifizierten API-Endpunkt und Befehlsausführung auf Root-Ebene macht dies zu einer der gefährlichsten Varianten von OS Command Injection, da sie sofortigen, uneingeschränkten Zugriff auf das Zielsystem aus einer einzigen HTTP-Anfrage bietet.
Häufig gestellte Fragen
Wird CVE-2021-27561 aktiv ausgenutzt?
Ja. CVE-2021-27561 ist im CISA-Katalog bekannter ausgenutzter Schwachstellen gelistet, was aktive Ausnutzung in freier Wildbahn bestätigt. Der EPSS-Score von 94,11 % (99,9. Perzentil) deutet auf nahezu sichere Ausnutzungsaktivität hin. CISA setzte eine dringende Behebungsfrist bis zum 17.11.2021, nur zwei Wochen nach Aufnahme in den Katalog.
Welche Produkte sind von CVE-2021-27561 betroffen?
CVE-2021-27561 betrifft Yealink Device Management (DM) Version 3.6.0.20 und möglicherweise frühere Versionen. Diese Plattform wird für die zentrale Verwaltung und Bereitstellung von Yealink-IP-Telefonen und Kommunikationsgeräten in Unternehmensumgebungen verwendet.
Wie behebe ich CVE-2021-27561?
Aktualisieren Sie die Yealink-Device-Management-Plattform auf eine Version über 3.6.0.20, die diese Schwachstelle adressiert. Als sofortige Abhilfemaßnahme den Netzwerkzugriff auf die Management-Plattform einschränken und Anfragen an den Endpunkt /sm/api/v1/firewall/zone/services blockieren. Vollständige Schritte finden Sie im Abschnitt Behebung.
Wie schwerwiegend ist CVE-2021-27561?
CVE-2021-27561 hat einen CVSS-3.1-Score von 9,8 (KRITISCH). Die Schwachstelle ermöglicht nicht authentifizierte Remote-Befehlsausführung mit Root-Privilegien, was sie zu einer der schwerwiegendsten Arten von Sicherheitslücken macht. Mit einem EPSS-Score im 99,9. Perzentil ist eine sofortige Behebung unabdingbar.
Hilfe beim Schwachstellenmanagement?
Unsere Sicherheitsexperten helfen Ihnen bei der Priorisierung und Behebung von Schwachstellen.