CVE-2021-27876
Veritas Backup Exec Agent File Access Vulnerability
Beschreibung
CVE-2021-27876 ist eine schwerwiegende Sicherheitslücke in Veritas Backup Exec vor Version 21.2, die einen unautorisierten Dateizugriff über eine fehlerhafte SHA-Authentifizierung ermöglicht. Die Schwachstelle betrifft die Kommunikation zwischen Client und Agent: Obwohl die Authentifizierung normalerweise über eine sichere TLS-Verbindung erfolgt, kann ein Angreifer aufgrund eines Fehlers im SHA-Authentifizierungsschema den Authentifizierungsprozess umgehen und anschließend Datenverwaltungsbefehle ausführen. Durch manipulierte Eingabeparameter kann ein Angreifer mit Systemberechtigungen auf beliebige Dateien zugreifen. Die Schwachstelle wurde von CISA in den KEV-Katalog aufgenommen und wird aktiv ausgenutzt, auch im Zusammenhang mit Ransomware-Angriffen.
KEV-Informationen
CVSS-Score
CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:NIm Rechner öffnenBetroffene Produkte
| Hersteller | Produkt | Version |
|---|---|---|
| veritas | backup exec | < 21.2 |
Mehrere CVSS-Bewertungen
CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:N
CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:N
Referenzen
- http://packetstormsecurity.com/files/168506/Veritas-Backup-Exec-Agent-Remote-Code-Execution.html(Exploit, Third Party Advisory, VDB Entry)
- https://www.veritas.com/content/support/en_US/security/VTS21-001#issue2(Vendor Advisory)
- https://www.cisa.gov/known-exploited-vulnerabilities-catalog?field_cve=CVE-2021-27876(US Government Resource)
Schwachstellentyp
Für CVE-2021-27876 ist kein spezifischer CWE-Typ in der NVD-Datenbank hinterlegt. Die Schwachstelle basiert auf einer fehlerhaften Implementierung des SHA-Authentifizierungsschemas in Veritas Backup Exec, die es Angreifern ermöglicht, die Authentifizierung zu umgehen und mit Systemberechtigungen auf beliebige Dateien zuzugreifen. Diese Art von Schwachstelle kombiniert Aspekte einer Authentifizierungsumgehung mit einer unsachgemäßen Zugriffskontrolle.
Auswirkungsanalyse
CVE-2021-27876 hat einen CVSS-Score von 8.1 (High) nach CVSS v3.1 und stellt ein erhebliches Sicherheitsrisiko dar. Die Schwachstelle ist über das Netzwerk ausnutzbar ohne physischen Zugang zum Zielsystem, wobei die Angriffskomplexität niedrig ist und keine besonderen Voraussetzungen erforderlich sind. Zwar sind niedrige Berechtigungen erforderlich, jedoch ist keine Benutzerinteraktion notwendig. Vertraulichkeit (High): Ein Angreifer kann mit Systemberechtigungen auf beliebige Dateien im System zugreifen und somit sensible Backup-Daten, Konfigurationsdateien und vertrauliche Unternehmensinformationen kompromittieren. Integrität (High): Die Möglichkeit, Datenverwaltungsbefehle auszuführen, erlaubt auch die Manipulation von Dateien auf dem System. Die Verfügbarkeit ist nicht direkt betroffen. Besonders kritisch ist, dass die Schwachstelle in Verbindung mit Ransomware-Angriffen bekannt ist, was die Bedrohungslage für Unternehmen mit Veritas Backup Exec erheblich verschärft.
Exploit-Reifegrad
Öffentlicher Exploit-Code ist verfügbar für CVE-2021-27876 über Packet Storm Security, was die Ausnutzung für Angreifer erheblich erleichtert. Die CISA hat die aktive Ausnutzung dieser Schwachstelle bestätigt und sie in den KEV-Katalog (Known Exploited Vulnerabilities) aufgenommen, mit einer Behebungsfrist bis zum 28. April 2023. Ransomware-Nutzung ist bekannt — die Schwachstelle wird aktiv in Ransomware-Kampagnen eingesetzt, was das Risiko für betroffene Organisationen deutlich erhöht. Der EPSS-Score von 0,99% (76. Perzentil) zeigt eine moderate Wahrscheinlichkeit für breitere Ausnutzung, wobei die bestätigte aktive Ausnutzung und Ransomware-Verbindung die tatsächliche Bedrohung deutlich über diesen Wert hinaus erhöhen.
Behebung
- Sofortige Maßnahme gemäß CISA-Anweisung: Wenden Sie die vom Hersteller bereitgestellten Gegenmaßnahmen an oder stellen Sie die Nutzung des Produkts ein, falls keine Gegenmaßnahmen verfügbar sind. Die Behebungsfrist war der 28. April 2023.
- Upgrade auf Veritas Backup Exec 21.2 oder höher: Aktualisieren Sie alle Backup Exec Agents auf mindestens Version 21.2, in der die SHA-Authentifizierungsschwachstelle behoben wurde. Konsultieren Sie das Veritas Security Advisory VTS21-001 für detaillierte Update-Anleitungen.
- Netzwerksegmentierung: Isolieren Sie Backup-Infrastruktur in einem separaten Netzwerksegment und beschränken Sie den Zugriff auf Backup Exec Agent-Ports (standardmäßig TCP 10000) auf autorisierte Backup-Server.
- Überwachung und Erkennung: Überprüfen Sie Logs der Backup Exec Agents auf verdächtige Authentifizierungsversuche und ungewöhnliche Dateizugriffe. Implementieren Sie Netzwerk-Monitoring für anomale Verbindungen zu Backup-Agent-Ports.
- Langfristige Härtung: Deaktivieren Sie veraltete Authentifizierungsschemata und stellen Sie sicher, dass nur aktuelle, sichere Authentifizierungsmechanismen verwendet werden. Überprüfen Sie regelmäßig die Zugriffsrechte auf Backup-Systeme.
Technische Details
CVE-2021-27876 betrifft die SHA-basierte Authentifizierung in Veritas Backup Exec vor Version 21.2. Die Kommunikation zwischen einem Backup-Client und dem Backup Exec Agent erfordert eine erfolgreiche Authentifizierung, die normalerweise über eine sichere TLS-Verbindung abgeschlossen wird. Angriffsvektor (Netzwerk): Ein Angreifer kann die Schwachstelle im SHA-Authentifizierungsschema remote ausnutzen, um den Authentifizierungsprozess zu umgehen, ohne über gültige Anmeldeinformationen zu verfügen. Authentifizierungsumgehung: Nach der erfolgreichen Umgehung der Authentifizierung kann der Angreifer Datenverwaltungsprotokolle-Befehle auf der authentifizierten Verbindung ausführen. Dateizugriff mit Systemprivilegien: Durch die Verwendung manipulierter Eingabeparameter in diesen Befehlen kann ein Angreifer auf beliebige Dateien im Zielsystem zugreifen — und dies mit den höchsten verfügbaren Systemberechtigungen. Der CVSS-Vektor CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:N bestätigt die Netzwerk-Ausnutzbarkeit bei niedriger Komplexität, wobei die hohen Auswirkungen auf Vertraulichkeit und Integrität den Ernst der Schwachstelle unterstreichen.
Häufig gestellte Fragen
Wird CVE-2021-27876 aktiv ausgenutzt?
Ja, CVE-2021-27876 wird aktiv ausgenutzt. Die CISA hat diese Schwachstelle in ihren KEV-Katalog (Known Exploited Vulnerabilities) aufgenommen und eine Behebungsfrist bis zum 28. April 2023 gesetzt. Darüber hinaus ist bekannt, dass die Schwachstelle in Ransomware-Kampagnen eingesetzt wird.
Welche Produkte sind von CVE-2021-27876 betroffen?
CVE-2021-27876 betrifft Veritas Backup Exec Agent in allen Versionen vor 21.2. Alle Installationen, die diese älteren Versionen des Backup Exec Agent verwenden, sind potenziell gefährdet und sollten umgehend aktualisiert werden.
Wie behebe ich CVE-2021-27876?
Die wichtigste Maßnahme ist das Upgrade auf Veritas Backup Exec Version 21.2 oder höher. Zusätzlich sollten Sie den Netzwerkzugang zu Backup Exec Agent-Ports einschränken und veraltete Authentifizierungsschemata deaktivieren. Detaillierte Anweisungen finden Sie im Veritas Security Advisory VTS21-001.
Wie schwerwiegend ist CVE-2021-27876?
CVE-2021-27876 hat einen CVSS-Score von 8.1 (High) nach CVSS v3.1. Die Schwachstelle ermöglicht den Zugriff auf beliebige Dateien mit Systemberechtigungen über das Netzwerk. In Kombination mit der bestätigten Ransomware-Nutzung stellt sie ein erhebliches Risiko für betroffene Organisationen dar.
Hilfe beim Schwachstellenmanagement?
Unsere Sicherheitsexperten helfen Ihnen bei der Priorisierung und Behebung von Schwachstellen.