CVE-2021-27878
Veritas Backup Exec Agent Command Execution Vulnerability
Beschreibung
CVE-2021-27878 ist eine schwerwiegende Sicherheitslücke in Veritas Backup Exec vor Version 21.2, die einem Angreifer die Ausführung beliebiger Befehle mit Systemberechtigungen ermöglicht. Die Schwachstelle besteht in der fehlerhaften Implementierung des SHA-Authentifizierungsschemas, über das ein Angreifer die Authentifizierung zwischen Client und Agent umgehen und anschließend Datenverwaltungsbefehle auf der authentifizierten Verbindung ausführen kann. Mit einem CVSS-Score von 8.8 (High) und der Möglichkeit zur vollständigen Kompromittierung von Vertraulichkeit, Integrität und Verfügbarkeit stellt CVE-2021-27878 eines der kritischsten Risiken in der Veritas-Backup-Infrastruktur dar. Die Schwachstelle wird aktiv ausgenutzt und ist für Ransomware-Angriffe bekannt.
KEV-Informationen
CVSS-Score
CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:HIm Rechner öffnenBetroffene Produkte
| Hersteller | Produkt | Version |
|---|---|---|
| veritas | backup exec | < 21.2 |
Mehrere CVSS-Bewertungen
CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H
CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H
Referenzen
- http://packetstormsecurity.com/files/168506/Veritas-Backup-Exec-Agent-Remote-Code-Execution.html(Exploit, Third Party Advisory, VDB Entry)
- https://www.veritas.com/content/support/en_US/security/VTS21-001#issue3(Vendor Advisory)
- https://www.cisa.gov/known-exploited-vulnerabilities-catalog?field_cve=CVE-2021-27878(US Government Resource)
Schwachstellentyp
Für CVE-2021-27878 ist kein spezifischer CWE-Typ in der NVD-Datenbank hinterlegt. Die Schwachstelle kombiniert eine Authentifizierungsumgehung über ein fehlerhaftes SHA-Schema mit der Möglichkeit zur Ausführung beliebiger Betriebssystem-Befehle. Nach Umgehung der Authentifizierung kann ein Angreifer über manipulierte Datenverwaltungsbefehle beliebige Systemkommandos mit den höchsten verfügbaren Berechtigungen ausführen.
Auswirkungsanalyse
CVE-2021-27878 erreicht einen CVSS-Score von 8.8 (High) nach CVSS v3.1 und stellt die schwerwiegendste der drei zusammenhängenden Veritas Backup Exec Schwachstellen dar. Die Schwachstelle ist über das Netzwerk ausnutzbar, wobei die Angriffskomplexität niedrig ist und keine speziellen Voraussetzungen erforderlich sind. Es werden niedrige Berechtigungen benötigt und keine Benutzerinteraktion ist erforderlich. Vertraulichkeit (High): Ein Angreifer erhält durch die Befehlsausführung mit Systemberechtigungen vollständigen Zugriff auf alle Daten des betroffenen Systems, einschließlich sensibler Backup-Daten. Integrität (High): Die Möglichkeit, beliebige Befehle auszuführen, erlaubt die Manipulation, Löschung oder Verschlüsselung von Dateien und Backup-Daten. Verfügbarkeit (High): Im Gegensatz zu CVE-2021-27876 ist auch die Verfügbarkeit vollständig gefährdet, da ein Angreifer Dienste stoppen, Daten zerstören oder Ransomware installieren kann. Die bestätigte Verwendung in Ransomware-Kampagnen macht diese Schwachstelle zu einer unmittelbaren Bedrohung für geschäftskritische Backup-Systeme.
Exploit-Reifegrad
Öffentlicher Exploit-Code ist verfügbar für CVE-2021-27878 über Packet Storm Security, der eine Remote-Code-Execution auf verwundbaren Backup Exec Agents ermöglicht. Die CISA hat die aktive Ausnutzung bestätigt und die Schwachstelle in den KEV-Katalog aufgenommen, mit einer Behebungsfrist bis zum 28. April 2023. Ransomware-Nutzung ist bekannt — CVE-2021-27878 wird zusammen mit den verwandten Schwachstellen CVE-2021-27876 und CVE-2021-27877 aktiv in Ransomware-Angriffen eingesetzt, wobei Angreifer die vollständige Befehlsausführung nutzen, um Ransomware auf Backup-Systemen zu deployen. Der EPSS-Score von 6,9% (91. Perzentil) zeigt eine überdurchschnittlich hohe Ausnutzungswahrscheinlichkeit.
Behebung
- Sofortige Maßnahme gemäß CISA-Anweisung: Wenden Sie die vom Hersteller bereitgestellten Gegenmaßnahmen an oder stellen Sie die Nutzung des Produkts ein, falls keine Patches verfügbar sind. Die Behebungsfrist war der 28. April 2023.
- Upgrade auf Veritas Backup Exec 21.2 oder höher: Aktualisieren Sie alle Backup Exec Agents auf mindestens Version 21.2, in der die SHA-Authentifizierungsschwachstelle behoben wurde. Detaillierte Informationen finden Sie im Veritas Security Advisory VTS21-001.
- Netzwerkisolierung der Backup-Infrastruktur: Segmentieren Sie Backup-Server und -Agents in ein dediziertes VLAN und beschränken Sie den Zugriff auf Backup Exec Agent-Ports (Standard: TCP 10000) über Firewall-Regeln ausschließlich auf autorisierte Backup-Server.
- Forensische Überprüfung: Da die Schwachstelle die Ausführung beliebiger Befehle ermöglicht, überprüfen Sie alle Backup Exec Agents auf Anzeichen einer Kompromittierung. Suchen Sie nach ungewöhnlichen Prozessen, neuen Benutzerkonten oder verdächtigen Dateien auf den betroffenen Systemen.
- Backup-Integrität sicherstellen: Verifizieren Sie die Integrität Ihrer Backups, da Angreifer bei einer Kompromittierung gezielt Backup-Daten manipuliert oder verschlüsselt haben könnten. Stellen Sie sicher, dass offline oder air-gapped Backups verfügbar sind.
Technische Details
CVE-2021-27878 betrifft die SHA-basierte Authentifizierung in Veritas Backup Exec vor Version 21.2 und ermöglicht die Ausführung beliebiger Betriebssystem-Befehle. Authentifizierungsumgehung: Die Kommunikation zwischen Client und Agent erfordert normalerweise eine erfolgreiche Authentifizierung über TLS, jedoch kann ein Angreifer durch eine Schwachstelle im SHA-Authentifizierungsschema diesen Prozess umgehen und die Authentifizierung ohne gültige Anmeldedaten abschließen. Befehlsausführung mit Systemprivilegien: Nach erfolgreicher Authentifizierungsumgehung kann der Angreifer Datenverwaltungsprotokolle-Befehle auf der authentifizierten Verbindung ausführen und über manipulierte Parameter beliebige Betriebssystem-Befehle mit Systemberechtigungen auslösen. Der CVSS-Vektor CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H zeigt, dass alle drei Sicherheitsziele — Vertraulichkeit, Integrität und Verfügbarkeit — vollständig kompromittiert werden können. Dies unterscheidet CVE-2021-27878 von der verwandten CVE-2021-27876, die nur Dateizugriff ermöglicht, während CVE-2021-27878 eine vollständige Remote-Code-Execution darstellt.
Häufig gestellte Fragen
Wird CVE-2021-27878 aktiv ausgenutzt?
Ja, CVE-2021-27878 wird aktiv ausgenutzt. Die CISA hat diese Schwachstelle in ihren KEV-Katalog aufgenommen, und sie wird aktiv in Ransomware-Angriffen eingesetzt. In Verbindung mit CVE-2021-27876 und CVE-2021-27877 bildet sie eine Angriffskette gegen Veritas Backup Exec Infrastrukturen.
Welche Produkte sind von CVE-2021-27878 betroffen?
CVE-2021-27878 betrifft Veritas Backup Exec Agent in allen Versionen vor 21.2. Jede Installation, die eine ältere Version des Backup Exec Agent verwendet, ist potenziell von dieser Remote-Code-Execution-Schwachstelle betroffen.
Wie behebe ich CVE-2021-27878?
Die primäre Maßnahme ist das Upgrade auf Veritas Backup Exec Version 21.2 oder höher. Zusätzlich sollten Sie den Netzwerkzugriff auf Backup Exec Agent-Ports einschränken, eine forensische Überprüfung bestehender Agents durchführen und die Integrität Ihrer Backups verifizieren.
Wie schwerwiegend ist CVE-2021-27878?
Mit einem CVSS-Score von 8.8 (High) ist CVE-2021-27878 die schwerwiegendste der drei zusammenhängenden Veritas-Schwachstellen. Sie ermöglicht eine vollständige Remote-Code-Execution mit Systemberechtigungen und kann Vertraulichkeit, Integrität und Verfügbarkeit gleichzeitig kompromittieren. Die Ransomware-Verbindung macht eine sofortige Behebung zwingend erforderlich.
Hilfe beim Schwachstellenmanagement?
Unsere Sicherheitsexperten helfen Ihnen bei der Priorisierung und Behebung von Schwachstellen.