CVE-2022-26318
WatchGuard Firebox and XTM Appliances Arbitrary Code Execution
Beschreibung
CVE-2022-26318 ist eine Schwachstelle zur beliebigen Codeausführung in WatchGuard-Firebox- und XTM-Appliances, die es einem entfernten, nicht authentifizierten Angreifer ermöglicht, über eine speziell gestaltete Anfrage Code auf dem System auszuführen. Die Schwachstelle betrifft die Verwaltungsoberfläche der WatchGuard-Firewall-Appliances und ermöglicht potenziell die vollständige Übernahme der Netzwerksicherheitsinfrastruktur. Mit einem EPSS-Score von 6,7 % (94,4. Perzentil) wurde diese Schwachstelle aktiv angegriffen. Die CISA hat CVE-2022-26318 in den Katalog der bekannten ausgenutzten Schwachstellen aufgenommen.
KEV-Informationen
CVSS-Score
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:HIm Rechner öffnenBetroffene Produkte
| Hersteller | Produkt | Version |
|---|---|---|
| watchguard | fireware | >= 12.0.0, < 12.1.3; >= 12.5, < 12.5.9; >= 12.7.0, < 12.7.2; 12.1.3; 12.5.9; 12.7.2 |
Mehrere CVSS-Bewertungen
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
Referenzen
Schwachstellentyp
CWE-94: Improper Control of Generation of Code ('Code Injection')
CVE-2022-26318 ermöglicht die Ausführung beliebigen Codes auf WatchGuard-Firebox- und XTM-Appliances über eine gestaltete Anfrage an die Verwaltungsoberfläche. Die Appliance kann eingehende Anfragen nicht ordnungsgemäß bereinigen und validieren, wodurch ein Angreifer beliebigen Code auf dem zugrunde liegenden Betriebssystem einschleusen und ausführen kann.
Mehr erfahren: CWE-94 — Improper Control of Generation of Code
Auswirkungsanalyse
CVE-2022-26318 stellt eine kritische Bedrohung für die Netzwerksicherheitsinfrastruktur dar. Die Schwachstelle ermöglicht unauthentifizierte Remotecodeausführung auf Firewall-Appliances, die für viele Organisationen die primäre Perimeterverteidigung darstellen. Die Kompromittierung einer Firewall verschafft einem Angreifer Einblick in den gesamten Netzwerkverkehr, die Möglichkeit, Sicherheitsrichtlinien zu ändern, und eine strategische Position für laterale Bewegung in das interne Netzwerk. Der EPSS-Score von 6,7 % (94,4. Perzentil) zeigt eine signifikante Ausnutzungsaktivität gegen diese Netzwerksicherheits-Appliances an. Die Aufnahme in den KEV-Katalog der CISA bestätigt, dass Bedrohungsakteure diese Schwachstelle in realen Angriffen aktiv ausgenutzt haben.
Exploit-Reifegrad
CVE-2022-26318 wurde aktiv in freier Wildbahn gegen WatchGuard-Firewall-Appliances ausgenutzt. Die CISA bestätigte die Ausnutzung durch Aufnahme in den KEV-Katalog im März 2022. Die Schwachstelle wurde zusammen mit anderen kritischen WatchGuard-Schwachstellen offengelegt, wobei Bedrohungsakteure internetexponierte Verwaltungsoberflächen ins Visier nahmen. Der EPSS-Score von 6,7 % spiegelt die laufende Ausnutzungsaktivität gegen exponierte Appliances wider.
Behebung
- WatchGuard-Firebox- und XTM-Firmware aktualisieren auf die neueste Version, die CVE-2022-26318 gemäß dem Sicherheitshinweis von WatchGuard behebt.
- Zugriff auf die Verwaltungsoberfläche einschränken auf vertrauenswürdige Netzwerke. Stellen Sie die WatchGuard-Verwaltungsoberfläche niemals direkt dem Internet aus. Verwenden Sie VPN oder dedizierte Verwaltungsnetzwerke.
- Firewall-Konfigurationen überprüfen und auditieren auf Anzeichen einer Kompromittierung, einschließlich unautorisierter Richtlinienänderungen, unerwarteter Benutzerkonten und modifizierter Zugriffsregeln.
- Protokollierung und Überwachung aktivieren für alle Zugriffsversuche auf die Verwaltungsoberfläche und Firewall-Protokolle mit Ihrer SIEM-Lösung integrieren.
- Netzwerksegmentierung implementieren, um den Schadensradius bei einer Kompromittierung der Firewall-Appliance zu begrenzen und sicherzustellen, dass Verwaltungsoberflächen vom allgemeinen Netzwerkverkehr isoliert sind.
Technische Details
CVE-2022-26318 ist eine Codeausführungs-Schwachstelle (CWE-94) in WatchGuard-Firebox- und XTM-Appliances, die über speziell gestaltete Anfragen an die Verwaltungsoberfläche des Geräts ausgelöst werden kann. Die Schwachstelle ermöglicht es einem nicht authentifizierten entfernten Angreifer, beliebigen Code auf dem zugrunde liegenden Betriebssystem der Firewall-Appliance auszuführen. Der Fehler besteht in der Anfrageverarbeitungslogik des Verwaltungsdienstes, wo eine unzureichende Eingabevalidierung es einem Angreifer ermöglicht, Befehle einzuschleusen und auszuführen. Da Firewall-Appliances typischerweise mit erhöhten Systemberechtigungen laufen, gewährt eine erfolgreiche Ausnutzung dem Angreifer hoch privilegierten Zugriff auf die Netzwerksicherheits-Appliance.
Häufig gestellte Fragen
Wird CVE-2022-26318 aktiv ausgenutzt?
Ja, die CISA bestätigte die aktive Ausnutzung durch Aufnahme von CVE-2022-26318 in den Katalog der bekannten ausgenutzten Schwachstellen im März 2022. Der EPSS-Score von 6,7 % spiegelt die signifikante Zielerfassung exponierter WatchGuard-Appliances wider.
Welche Produkte sind von CVE-2022-26318 betroffen?
WatchGuard-Firebox- und XTM-Appliances sind betroffen. Die Schwachstelle zielt auf die Verwaltungsoberfläche dieser Netzwerksicherheits-Appliances ab.
Wie behebe ich CVE-2022-26318?
Aktualisieren Sie die Firmware aller WatchGuard-Firebox- und XTM-Appliances auf die neueste gepatchte Version. Schränken Sie den Zugriff auf die Verwaltungsoberfläche sofort auf vertrauenswürdige Netzwerke ein und prüfen Sie Konfigurationen auf Anzeichen einer Kompromittierung.
Wie schwerwiegend ist CVE-2022-26318?
CVE-2022-26318 ermöglicht unauthentifizierte Remotecodeausführung auf Firewall-Appliances, die kritische Netzwerksicherheitsinfrastruktur darstellen. Die Kompromittierung einer Firewall gibt Angreifern Einblick in den Netzwerkverkehr, die Möglichkeit, Sicherheitsrichtlinien zu ändern, und einen Ausgangspunkt für weitere Angriffe.
Hilfe beim Schwachstellenmanagement?
Unsere Sicherheitsexperten helfen Ihnen bei der Priorisierung und Behebung von Schwachstellen.