CVE-2021-27877
Veritas Backup Exec Agent Improper Authentication Vulnerability
Beschreibung
CVE-2021-27877 ist eine schwerwiegende Sicherheitslücke in Veritas Backup Exec vor Version 21.2, die auf einem veralteten und nicht deaktivierten SHA-Authentifizierungsschema basiert. Obwohl dieses Authentifizierungsverfahren in aktuellen Produktversionen nicht mehr verwendet wird, war es in älteren Versionen weiterhin aktiv. Ein Angreifer kann dieses veraltete Schema remote ausnutzen, um ohne Authentifizierung Zugriff auf einen Backup Exec Agent zu erlangen und privilegierte Befehle auszuführen. Mit einem CVSS-Score von 8.2 (High) und einem EPSS-Score von 29,4% (96. Perzentil) stellt CVE-2021-27877 ein erhebliches Risiko dar — die Schwachstelle wird aktiv ausgenutzt und ist in Ransomware-Kampagnen bekannt.
KEV-Informationen
CVSS-Score
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:L/A:NIm Rechner öffnenBetroffene Produkte
| Hersteller | Produkt | Version |
|---|---|---|
| veritas | backup exec | < 21.2 |
Mehrere CVSS-Bewertungen
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:L/A:N
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
Referenzen
- http://packetstormsecurity.com/files/168506/Veritas-Backup-Exec-Agent-Remote-Code-Execution.html(Exploit, Third Party Advisory, VDB Entry)
- https://www.veritas.com/content/support/en_US/security/VTS21-001#issue1(Vendor Advisory)
- https://www.cisa.gov/known-exploited-vulnerabilities-catalog?field_cve=CVE-2021-27877(US Government Resource)
Schwachstellentyp
Für CVE-2021-27877 ist kein spezifischer CWE-Typ in der NVD-Datenbank hinterlegt. Die Schwachstelle resultiert aus einem veralteten Authentifizierungsschema (SHA Authentication), das zwar nicht mehr aktiv genutzt, aber in älteren Versionen von Veritas Backup Exec nicht ordnungsgemäß deaktiviert wurde. Dies ermöglicht eine vollständige Umgehung der Authentifizierung und den unautorisierten Zugriff auf den Backup Exec Agent mit privilegierten Berechtigungen.
Auswirkungsanalyse
CVE-2021-27877 erreicht einen CVSS-Score von 8.2 (High) nach CVSS v3.1 und stellt ein kritisches Sicherheitsrisiko für Backup-Infrastrukturen dar. Die Schwachstelle ist über das Netzwerk ausnutzbar und erfordert keine Authentifizierung — ein Angreifer benötigt keinerlei Anmeldeinformationen, um den Angriff durchzuführen. Die Angriffskomplexität ist niedrig, es sind keine besonderen Bedingungen oder Vorbereitungen erforderlich. Keine Benutzerinteraktion ist notwendig, was die Schwachstelle besonders gefährlich für automatisierte Angriffe macht. Vertraulichkeit (High): Ein Angreifer kann über den kompromittierten Agent auf sensible Backup-Daten und Systemkonfigurationen zugreifen. Integrität (Low): Durch die Ausführung privilegierter Befehle besteht ein begrenztes Risiko der Datenmanipulation. Der hohe EPSS-Score von 29,4% (96. Perzentil) deutet auf eine sehr hohe Wahrscheinlichkeit aktiver Ausnutzung hin, und die bestätigte Verwendung in Ransomware-Kampagnen unterstreicht die unmittelbare Bedrohung für Unternehmen.
Exploit-Reifegrad
Öffentlicher Exploit-Code ist verfügbar für CVE-2021-27877 über Packet Storm Security, was eine niedrigschwellige Ausnutzung durch Angreifer ermöglicht. Die CISA hat die aktive Ausnutzung in freier Wildbahn bestätigt und die Schwachstelle in den KEV-Katalog aufgenommen, mit einer Behebungsfrist bis zum 28. April 2023. Ransomware-Nutzung ist bekannt — CVE-2021-27877 wird aktiv in Ransomware-Angriffen eingesetzt, was das Risiko für ungeschützte Organisationen erheblich steigert. Der EPSS-Score von 29,4% (96. Perzentil) unterstreicht die hohe Wahrscheinlichkeit einer breiteren Ausnutzung und platziert diese Schwachstelle unter den am wahrscheinlichsten ausgenutzten Sicherheitslücken.
Behebung
- Sofortige Maßnahme gemäß CISA-Anweisung: Wenden Sie die vom Hersteller bereitgestellten Gegenmaßnahmen an oder stellen Sie die Nutzung des Produkts ein, falls keine Patches verfügbar sind. Die Behebungsfrist war der 28. April 2023.
- Upgrade auf Veritas Backup Exec 21.2 oder höher: Aktualisieren Sie alle Backup Exec Agents auf Version 21.2 oder neuer. In dieser Version wurde das veraltete SHA-Authentifizierungsschema deaktiviert. Weitere Informationen finden Sie im Veritas Security Advisory VTS21-001.
- SHA-Authentifizierung sofort deaktivieren: Falls ein sofortiges Upgrade nicht möglich ist, deaktivieren Sie das SHA-Authentifizierungsschema manuell auf allen Backup Exec Agents, um den Angriffsvektor zu eliminieren.
- Netzwerkzugriff einschränken: Beschränken Sie den Zugriff auf Backup Exec Agent-Ports (Standard: TCP 10000) ausschließlich auf autorisierte Backup-Server und blockieren Sie alle anderen eingehenden Verbindungen mittels Firewall-Regeln.
- Monitoring und Incident Response: Überprüfen Sie Protokolle auf verdächtige Authentifizierungsversuche über das SHA-Schema. Prüfen Sie, ob bereits kompromittierte Systeme existieren, und führen Sie bei Verdacht eine umfassende Incident-Response-Untersuchung durch.
Technische Details
CVE-2021-27877 betrifft ein veraltetes SHA-Authentifizierungsschema in Veritas Backup Exec vor Version 21.2, das nicht ordnungsgemäß deaktiviert wurde. Veraltetes Authentifizierungsschema: Veritas Backup Exec unterstützt mehrere Authentifizierungsmechanismen, darunter das SHA-Authentifizierungsschema, das in aktuellen Versionen nicht mehr verwendet wird, aber in verwundbaren Installationen weiterhin aktiv war. Angriffsvektor (Netzwerk, keine Authentifizierung): Da das SHA-Schema ohne gültige Anmeldeinformationen ausgenutzt werden kann, ermöglicht der CVSS-Vektor CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:L/A:N einen unauthentifizierten Remote-Zugriff bei niedriger Komplexität. Privilegierte Befehlsausführung: Nach erfolgreicher Ausnutzung kann ein Angreifer privilegierte Befehle auf dem Backup Exec Agent ausführen, was den vollständigen Zugriff auf Backup-Daten und potenziell auf die gesamte Backup-Infrastruktur ermöglicht. Diese Schwachstelle steht in engem Zusammenhang mit CVE-2021-27876 und CVE-2021-27878, die ebenfalls das SHA-Authentifizierungsschema in Veritas Backup Exec betreffen.
Häufig gestellte Fragen
Wird CVE-2021-27877 aktiv ausgenutzt?
Ja, CVE-2021-27877 wird aktiv ausgenutzt. Die CISA hat diese Schwachstelle in ihren KEV-Katalog aufgenommen, und es ist bekannt, dass sie in Ransomware-Kampagnen eingesetzt wird. Der hohe EPSS-Score von 29,4% (96. Perzentil) bestätigt die erhebliche Ausnutzungswahrscheinlichkeit.
Welche Produkte sind von CVE-2021-27877 betroffen?
CVE-2021-27877 betrifft Veritas Backup Exec Agent in allen Versionen vor 21.2. Alle Installationen, die eine ältere Version des Backup Exec Agent verwenden und bei denen das SHA-Authentifizierungsschema nicht manuell deaktiviert wurde, sind verwundbar.
Wie behebe ich CVE-2021-27877?
Die empfohlene Maßnahme ist das Upgrade auf Veritas Backup Exec Version 21.2 oder höher, wo das SHA-Authentifizierungsschema deaktiviert wurde. Als Sofortmaßnahme kann das SHA-Authentifizierungsschema auch manuell deaktiviert werden. Zusätzlich sollte der Netzwerkzugriff auf Backup Exec Agent-Ports eingeschränkt werden.
Wie schwerwiegend ist CVE-2021-27877?
CVE-2021-27877 hat einen CVSS-Score von 8.2 (High) und erfordert keine Authentifizierung für die Ausnutzung, was sie besonders gefährlich macht. Der EPSS-Score von 29,4% platziert sie im 96. Perzentil, und die bestätigte Verwendung in Ransomware-Angriffen macht eine sofortige Behebung dringend erforderlich.
Hilfe beim Schwachstellenmanagement?
Unsere Sicherheitsexperten helfen Ihnen bei der Priorisierung und Behebung von Schwachstellen.