CVE-2021-39144
XStream Remote Code Execution Vulnerability
Beschreibung
CVE-2021-39144 ist eine schwerwiegende Deserialisierungs-Schwachstelle in der XStream-Bibliothek, die es einem authentifizierten Angreifer mit ausreichenden Rechten ermöglicht, beliebige Befehle auf dem Host-System auszuführen. Die Schwachstelle wurde mit einem CVSS-Score von 8,5 (HIGH) bewertet und weist einen Scope-Wert von Changed auf, was bedeutet, dass die Auswirkungen über die verwundbare Komponente hinausgehen. Betroffen ist die XStream-Bibliothek in Versionen vor 1.4.18 sowie zahlreiche Produkte, die XStream einsetzen, darunter Oracle-, Debian-, Fedora- und NetApp-Produkte. Besonders bekannt wurde die Schwachstelle durch die Ausnutzung in VMware NSX Manager. Die CISA hat CVE-2021-39144 in den KEV-Katalog aufgenommen mit einer Behebungsfrist bis zum 31. März 2023. Der EPSS-Score von 94,38 % (Perzentile: 99,97 %) unterstreicht die extrem hohe Ausnutzungswahrscheinlichkeit.
KEV-Informationen
CVSS-Score
CVSS:3.1/AV:N/AC:H/PR:L/UI:N/S:C/C:H/I:H/A:HIm Rechner öffnenCWEs
Betroffene Produkte
| Hersteller | Produkt | Version |
|---|---|---|
| xstream | xstream | < 1.4.18 |
| debian | debian linux | 9.0; 10.0; 11.0 |
| fedoraproject | fedora | 33; 34; 35 |
| netapp | snapmanager | - |
| oracle | business activity monitoring | 12.2.1.4.0 |
| oracle | commerce guided search | 11.3.2 |
| oracle | communications billing and revenue management elastic charging engine | 11.3; 12.0 |
| oracle | communications cloud native core automated test suite | 1.9.0 |
| oracle | communications cloud native core binding support function | 1.10.0 |
| oracle | communications cloud native core policy | 1.14.0 |
| oracle | communications unified inventory management | 7.3.4; 7.3.5; 7.4.0; 7.4.1; 7.4.2 |
| oracle | retail xstore point of service | 16.0.6; 17.0.4; 18.0.3; 19.0.2; 20.0.1 |
| oracle | utilities framework | 4.2.0.2.0; 4.2.0.3.0; 4.3.0.1.0; 4.3.0.6.0; 4.4.0.0.0; 4.4.0.2.0; 4.4.0.3.0 |
| oracle | utilities testing accelerator | 6.0.0.1.1 |
| oracle | webcenter portal | 12.2.1.3.0; 12.2.1.4.0 |
Mehrere CVSS-Bewertungen
CVSS:3.1/AV:N/AC:H/PR:L/UI:N/S:C/C:H/I:H/A:H
CVSS:3.1/AV:N/AC:H/PR:L/UI:N/S:C/C:H/I:H/A:H
Referenzen
- http://packetstormsecurity.com/files/169859/VMware-NSX-Manager-XStream-Unauthenticated-Remote-Code-Execution.html(Exploit, Third Party Advisory, VDB Entry)
- https://github.com/x-stream/xstream/security/advisories/GHSA-j9h8-phrw-h4fh(Vendor Advisory)
- https://lists.debian.org/debian-lts-announce/2021/09/msg00017.html(Mailing List, Third Party Advisory)
- https://lists.fedoraproject.org/archives/list/package-announce%40lists.fedoraproject.org/message/22KVR6B5IZP3BGQ3HPWIO2FWWCKT3DHP/(Broken Link, Mailing List, Release Notes)
- https://lists.fedoraproject.org/archives/list/package-announce%40lists.fedoraproject.org/message/PVPHZA7VW2RRSDCOIPP2W6O5ND254TU7/(Broken Link, Mailing List, Release Notes)
- https://lists.fedoraproject.org/archives/list/package-announce%40lists.fedoraproject.org/message/QGXIU3YDPG6OGTDHMBLAFN7BPBERXREB/(Broken Link, Mailing List, Release Notes)
- https://security.netapp.com/advisory/ntap-20210923-0003/(Third Party Advisory)
- https://www.debian.org/security/2021/dsa-5004(Third Party Advisory)
- https://www.oracle.com/security-alerts/cpuapr2022.html(Patch, Third Party Advisory)
- https://www.oracle.com/security-alerts/cpujan2022.html(Patch, Third Party Advisory)
- https://www.oracle.com/security-alerts/cpujul2022.html(Patch, Third Party Advisory)
- https://x-stream.github.io/CVE-2021-39144.html(Exploit, Vendor Advisory)
- https://www.cisa.gov/known-exploited-vulnerabilities-catalog?field_cve=CVE-2021-39144(US Government Resource)
Schwachstellentyp
CWE-502: Deserialization of Untrusted Data
CVE-2021-39144 ist unter anderem der Schwachstellenklasse CWE-502: Deserialization of Untrusted Data zugeordnet. Bei dieser Klasse verarbeitet ein System nicht vertrauenswürdige serialisierte Daten, ohne deren Inhalt ausreichend zu validieren. Ein Angreifer kann manipulierte serialisierte Objekte einschleusen, die bei der Deserialisierung bösartigen Code ausführen.
Im Fall von XStream werden XML-Daten in Java-Objekte deserialisiert. Ohne geeignete Einschränkungen (Whitelist) kann ein Angreifer beliebige Klassen instanziieren und damit Codeausführung auf dem Server erreichen.
CWE-94: Improper Control of Generation of Code (Code Injection)
Die Schwachstelle ist zusätzlich der Klasse CWE-94: Improper Control of Generation of Code zugeordnet. Code-Injection-Schwachstellen entstehen, wenn ein System externen Eingaben ermöglicht, ausführbaren Code zu erzeugen oder zu verändern.
CWE-306: Missing Authentication for Critical Function
Die Zuordnung zu CWE-306: Missing Authentication for Critical Function weist darauf hin, dass in bestimmten Einsatzszenarien die betroffene Deserialisierungsfunktion ohne ausreichende Authentifizierung erreichbar ist, was die Ausnutzung erleichtert.
Auswirkungsanalyse
Vertraulichkeit (Hoch): CVE-2021-39144 ermöglicht die Ausführung beliebiger Befehle auf dem Host-System. Ein Angreifer kann damit auf alle Daten zugreifen, die dem Serverprozess zugänglich sind, einschließlich Konfigurationsdateien, Datenbankinhalten, Zugangsdaten und interner Netzwerkinformationen. Der Scope-Wert Changed bedeutet, dass auch Ressourcen außerhalb der XStream-Anwendung betroffen sein können.
Integrität (Hoch): Durch die Befehlsausführung auf dem Host kann ein Angreifer Daten verändern, Hintertüren installieren, Konfigurationen manipulieren und das System für weitere Angriffe im Netzwerk nutzen. Die Kompromittierung des Host-Systems ermöglicht umfassende Manipulationen.
Verfügbarkeit (Hoch): Die vollständige Kontrolle über das Host-System ermöglicht es einem Angreifer, Dienste zu stoppen, Daten zu löschen oder das System anderweitig funktionsunfähig zu machen.
Die breite Betroffenheit zahlreicher Produkte, die XStream einsetzen, vergrößert die Angriffsfläche erheblich. Insbesondere die Ausnutzung in VMware NSX Manager zeigt, dass die Schwachstelle in unternehmenskritischen Infrastrukturkomponenten relevant ist. Die hohe Angriffskomplexität und die Anforderung niedriger Privilegien begrenzen die Ausnutzung zwar auf technisch versierte Angreifer, die bestätigte aktive Ausnutzung zeigt jedoch, dass diese Hürde in der Praxis überwunden wird.
Exploit-Reifegrad
CVE-2021-39144 weist eine extrem hohe Ausnutzungsreife auf. Der EPSS-Score von 94,38 % (Perzentile: 99,97 %) zählt zu den höchsten weltweit und zeigt die extrem hohe Wahrscheinlichkeit aktiver Ausnutzung an. Die CISA hat die Schwachstelle in den KEV-Katalog aufgenommen mit einer Behebungsfrist bis zum 31. März 2023. Öffentliche Exploit-Dokumentationen sind über PacketStorm und die XStream-Projektseite verfügbar, darunter ein spezifischer Exploit für VMware NSX Manager als Unauthenticated Remote Code Execution.
Obwohl die Angriffskomplexität als hoch eingestuft ist und niedrige Privilegien erforderlich sind, zeigen die verfügbaren Exploits und die KEV-Aufnahme, dass die Schwachstelle in der Praxis erfolgreich ausgenutzt wird. Die Ransomware-Assoziation im KEV-Katalog ist als Unknown gekennzeichnet. Die Vielzahl betroffener Produkte vergrößert die potenzielle Angriffsfläche.
Behebung
- XStream auf Version 1.4.18 oder höher aktualisieren: In XStream 1.4.18 wurde die standardmäßige Blacklist durch eine sicherere Konfiguration ersetzt. Alle Anwendungen, die XStream verwenden, sollten auf diese oder eine neuere Version aktualisiert werden.
- XStream Security Framework mit Whitelist konfigurieren: Unabhängig von der Version sollte XStream mit einem Security Framework konfiguriert werden, das nur die minimal erforderlichen Typen erlaubt (Whitelist). Dies ist die vom XStream-Projekt empfohlene Absicherung.
- VMware NSX Manager patchen: Falls VMware NSX Manager eingesetzt wird, die von VMware bereitgestellten Sicherheitsupdates umgehend installieren.
- Oracle-Produkte aktualisieren: Betroffene Oracle-Produkte gemäß den Oracle Critical Patch Updates (Januar 2022, April 2022, Juli 2022) aktualisieren.
- Abhängigkeitsprüfung durchführen: Alle internen Anwendungen und Bibliotheken auf die Verwendung verwundbarer XStream-Versionen prüfen, da XStream häufig als transitive Abhängigkeit eingebunden wird.
- Netzwerkzugriff einschränken: Zugriff auf XStream-basierte Endpunkte und Deserialisierungsschnittstellen auf autorisierte Clients beschränken.
- Incident Response bei Kompromittierungsverdacht: Bei Anzeichen einer Ausnutzung umgehend Incident-Response-Prozesse einleiten, betroffene Systeme isolieren und forensische Analyse durchführen.
Technische Details
Technischer Hintergrund: CVE-2021-39144 betrifft XStream, eine weit verbreitete Java-Bibliothek zur Serialisierung und Deserialisierung von Java-Objekten nach XML und zurück. XStream wird in zahlreichen Produkten als Abhängigkeit eingesetzt, darunter VMware NSX Manager, Oracle-Produkte und verschiedene Open-Source-Projekte. Die Schwachstelle kombiniert unsichere Deserialisierung (CWE-502) mit Code-Injection (CWE-94) und fehlender Authentifizierung für kritische Funktionen (CWE-306).
Ausnutzungsmechanismus: Ein Angreifer mit ausreichenden Rechten manipuliert den XML-Eingabestrom so, dass bei der Deserialisierung bösartige Java-Klassen instanziiert werden. Diese Klassen können Betriebssystembefehle auf dem Host ausführen. In Versionen vor 1.4.18 verwendete XStream standardmäßig eine Blacklist bekannter gefährlicher Klassen, die durch neue Angriffsvektoren umgangen werden konnte.
Sicherheitsmodell-Änderung in XStream 1.4.18: Ab Version 1.4.18 verwendet XStream standardmäßig keine Blacklist mehr, da diese für allgemeine Anwendungsfälle nicht ausreichend sicher ist. Stattdessen empfiehlt das Projekt die Konfiguration eines Security Frameworks mit einer Whitelist, die nur die minimal erforderlichen Typen zur Deserialisierung zulässt. Benutzer, die diese Empfehlung befolgt haben, sind von CVE-2021-39144 nicht betroffen.
VMware NSX Manager als prominentes Ziel: Die Schwachstelle wurde insbesondere für VMware NSX Manager als Unauthenticated Remote Code Execution (RCE) öffentlich dokumentiert. NSX Manager ist eine zentrale Komponente der VMware-Netzwerkvirtualisierung und in vielen Unternehmensumgebungen im Einsatz, was die Schwachstelle besonders gefährlich macht.
Häufig gestellte Fragen
Wird CVE-2021-39144 aktiv ausgenutzt?
Ja, CVE-2021-39144 wird aktiv ausgenutzt. Die Schwachstelle ist im CISA KEV-Katalog gelistet mit einer Behebungsfrist bis zum 31. März 2023. Der EPSS-Score von 94,38 % (Perzentile: 99,97 %) gehört zu den höchsten weltweit, und öffentliche Exploits, einschließlich eines spezifischen Exploits für VMware NSX Manager, sind verfügbar.
Welche Produkte sind von CVE-2021-39144 betroffen?
Direkt betroffen ist die XStream-Bibliothek in Versionen vor 1.4.18. Da XStream als Abhängigkeit in zahlreichen Produkten verwendet wird, erstreckt sich die Betroffenheit auf VMware NSX Manager, diverse Oracle-Produkte, Debian Linux, Fedora, NetApp SnapManager und weitere. Organisationen sollten alle Anwendungen auf die Verwendung verwundbarer XStream-Versionen prüfen.
Wie behebe ich CVE-2021-39144?
Die Behebung erfordert das Update auf XStream 1.4.18 oder höher und die Konfiguration einer Whitelist im XStream Security Framework. Für VMware NSX Manager und Oracle-Produkte stehen herstellerspezifische Patches bereit. Eine Prüfung aller Anwendungen auf transitive XStream-Abhängigkeiten wird dringend empfohlen.
Wie schwerwiegend ist CVE-2021-39144?
CVE-2021-39144 wird mit einem CVSS-Score von 8,5 (HIGH) bewertet und ermöglicht die Ausführung beliebiger Befehle auf dem Host-System. Der EPSS-Score von 94,38 % und die breite Betroffenheit zahlreicher Produkte machen diese Schwachstelle zu einer der kritischsten XStream-Sicherheitslücken. Die bestätigte Ausnutzung in VMware NSX Manager unterstreicht die reale Gefährdung.
Hilfe beim Schwachstellenmanagement?
Unsere Sicherheitsexperten helfen Ihnen bei der Priorisierung und Behebung von Schwachstellen.