CVE-2021-35394
Realtek Jungle SDK Remote Code Execution Vulnerability
Beschreibung
CVE-2021-35394 ist eine kritische Schwachstelle im Realtek Jungle SDK, die mehrere Speicherkorruptionsfehler und eine Befehlsinjektion im Diagnosetool "MP Daemon" (UDPServer) umfasst. Die Schwachstelle ermöglicht es nicht authentifizierten Angreifern, beliebigen Code auf betroffenen IoT-Geräten aus der Ferne auszuführen. CISA hat diese Schwachstelle in den Known Exploited Vulnerabilities-Katalog aufgenommen und damit die aktive Ausnutzung bestätigt. Mit einem EPSS-Score von 93,80 % (99,86. Perzentile) besteht eine nahezu sichere Wahrscheinlichkeit aktiver Ausnutzung.
KEV-Informationen
CVSS-Score
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:HIm Rechner öffnenBetroffene Produkte
| Hersteller | Produkt | Version |
|---|---|---|
| realtek | rtl819x jungle software development kit | >= 2.0, <= 3.4.14b |
Mehrere CVSS-Bewertungen
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
Referenzen
- https://www.iot-inspector.com/blog/advisory-multiple-issues-realtek-sdk-iot-supply-chain(Broken Link, Exploit, Third Party Advisory)
- https://www.realtek.com/en/cu-1-en/cu-1-taiwan-en(Broken Link, Patch, Vendor Advisory)
- https://www.realtek.com/images/safe-report/Realtek_APRouter_SDK_Advisory-CVE-2021-35392_35395.pdf(Patch, Vendor Advisory)
- https://www.securityfocus.com/archive/1/534765(Broken Link, Third Party Advisory, VDB Entry)
- https://www.cisa.gov/known-exploited-vulnerabilities-catalog?field_cve=CVE-2021-35394(US Government Resource)
Schwachstellentyp
CWE-78: Unsachgemäße Neutralisierung von Spezialelementen in einem OS-Befehl (’OS Command Injection’)
OS Command Injection ist eine Schwachstelle, bei der Software Betriebssystembefehle unter Verwendung extern beeinflusster Eingaben konstruiert, ohne Spezialelemente ordnungsgemäß zu neutralisieren. Im Realtek Jungle SDK ermöglicht die fehlerhafte Eingabevalidierung im MP Daemon (UDPServer) einem Angreifer, Shell-Metazeichen einzuschleusen und beliebige Betriebssystembefehle auf dem betroffenen Gerät auszuführen.
Weitere Informationen: CWE-78 — Unsachgemäße Neutralisierung von Spezialelementen in einem OS-Befehl (’OS Command Injection’)
Auswirkungsanalyse
CVE-2021-35394 hat einen CVSS 3.1-Score von 9.8 (CRITICAL) und stellt eine äußerst kritische Bedrohung für IoT-Infrastrukturen dar. Die Schwachstelle ist über das Netzwerk ohne physischen Zugriff ausnutzbar, bei geringer Angriffskomplexität und ohne jegliche Authentifizierung oder Benutzerinteraktion. Eine erfolgreiche Ausnutzung kompromittiert vollständig die Vertraulichkeit, Integrität und Verfügbarkeit des betroffenen Geräts. Da das Realtek Jungle SDK in einer Vielzahl von IoT-Geräten und Routern eingesetzt wird, ist die Angriffsfläche besonders groß. Der EPSS-Score von 93,80 % unterstreicht die extrem hohe Wahrscheinlichkeit aktiver Ausnutzung, und kompromittierte Geräte können als Ausgangspunkt für laterale Bewegung im Netzwerk dienen.
Exploit-Reifegrad
CVE-2021-35394 wird durch die Aufnahme in den CISA Known Exploited Vulnerabilities-Katalog als aktiv ausgenutzt bestätigt. Öffentliche Exploit-Informationen sind verfügbar über IoT Inspector, die die ursprüngliche Entdeckung und technische Details veröffentlicht haben. Der EPSS-Score von 93,80 % (99,86. Perzentile) zeigt eine nahezu sichere Ausnutzungsaktivität an. Die weite Verbreitung des Realtek SDK in der IoT-Lieferkette macht diese Schwachstelle besonders attraktiv für Botnet-Betreiber und Angreifer, die IoT-Geräte in großem Maßstab kompromittieren.
Behebung
- Pflichtmaßnahme laut CISA KEV: Apply updates per vendor instructions.
- Aktualisieren Sie das Realtek Jungle SDK auf eine Version nach 3.4.14B. Prüfen Sie beim Gerätehersteller, ob ein Firmware-Update verfügbar ist, das den gepatchten SDK enthält, da IoT-Geräte den SDK typischerweise über Firmware-Updates erhalten.
- Isolieren Sie betroffene IoT-Geräte in einem separaten Netzwerksegment und beschränken Sie den UDP-Zugriff auf den MP Daemon-Port mittels Firewall-Regeln. Deaktivieren Sie den UDPServer/MP Daemon, falls dieser nicht für den Betrieb erforderlich ist.
- Überwachen Sie den Netzwerkverkehr auf verdächtige UDP-Pakete an betroffene Geräte und prüfen Sie Geräteprotokolle auf Anzeichen einer Kompromittierung wie unerwartete Prozesse oder Netzwerkverbindungen.
- Implementieren Sie langfristig eine IoT-Sicherheitsstrategie mit regelmäßigen Firmware-Updates, Netzwerksegmentierung und einem Inventar aller Geräte mit Realtek-Chipsets.
Technische Details
CVE-2021-35394 betrifft das Realtek Jungle SDK in den Versionen 2.x bis einschließlich 3.4.14B. Die Schwachstelle befindet sich im Diagnosetool "MP Daemon", das typischerweise als "UDPServer"-Binary kompiliert wird. Das Binary ist von mehreren Speicherkorruptionsschwachstellen sowie einer Befehlsinjektionsschwachstelle (CWE-78) betroffen. Der CVSS-Vektor (AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H) bestätigt, dass keine Authentifizierung und keine Benutzerinteraktion erforderlich sind. Nicht authentifizierte Angreifer können speziell gestaltete UDP-Pakete an den MP Daemon senden, die entweder Speicherbereiche korrumpieren oder Shell-Befehle einschleusen, was zur Ausführung beliebigen Codes mit den Rechten des Daemon-Prozesses führt.
Häufig gestellte Fragen
Wird CVE-2021-35394 aktiv ausgenutzt?
Ja. CVE-2021-35394 ist im CISA Known Exploited Vulnerabilities-Katalog gelistet, was eine aktive Ausnutzung in freier Wildbahn bestätigt. Der EPSS-Score von 93,80 % (99,86. Perzentile) zeigt eine nahezu sichere Ausnutzungsaktivität an. Die Schwachstelle wird aktiv von Botnet-Betreibern zur Kompromittierung von IoT-Geräten ausgenutzt.
Welche Produkte sind von CVE-2021-35394 betroffen?
CVE-2021-35394 betrifft das Realtek RTL819x Jungle Software Development Kit in den Versionen 2.0 bis einschließlich 3.4.14B. Da dieses SDK in einer Vielzahl von IoT-Geräten und Routern verschiedener Hersteller eingesetzt wird, ist die tatsächliche Angriffsfläche erheblich größer als die direkt betroffene Komponente.
Wie behebe ich CVE-2021-35394?
Installieren Sie Firmware-Updates des Geräteherstellers, die den gepatchten Realtek SDK enthalten. Falls kein Update verfügbar ist, isolieren Sie betroffene Geräte in einem separaten Netzwerksegment und beschränken Sie den UDP-Zugriff auf den MP Daemon-Port.
Wie schwerwiegend ist CVE-2021-35394?
CVE-2021-35394 hat einen CVSS 3.1-Score von 9.8 (CRITICAL). Dies ist eine äußerst kritische Schwachstelle, die ohne Authentifizierung oder Benutzerinteraktion aus der Ferne ausgenutzt werden kann. Der EPSS-Score von 93,80 % platziert diese Schwachstelle in der 99,86. Perzentile.
Hilfe beim Schwachstellenmanagement?
Unsere Sicherheitsexperten helfen Ihnen bei der Priorisierung und Behebung von Schwachstellen.