CVE-2022-26352
dotCMS Unrestricted Upload of File Vulnerability
Beschreibung
CVE-2022-26352 ist eine Schwachstelle durch uneingeschränkten Datei-Upload mit Directory Traversal in dotCMS, einem weit verbreiteten Open-Source-Content-Management-System. Die Schwachstelle existiert in der dotCMS ContentResource API, die hochgeladene Dateitypen und Pfade nicht ordnungsgemäß validiert, wodurch ein Angreifer bösartige Dateien mit gefährlichen Typen hochladen und über Directory Traversal außerhalb des vorgesehenen Speicherorts ablegen kann. Eine erfolgreiche Ausnutzung ermöglicht Remote-Code-Ausführung auf dem Hosting-Server. Die CISA hat CVE-2022-26352 in ihren KEV-Katalog aufgenommen und eine Verbindung zu Ransomware-Kampagnen bestätigt. Der EPSS-Score von 94,3 % (99. Perzentil) deutet auf nahezu sichere Ausnutzungsaktivität hin.
KEV-Informationen
CVSS-Score
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:HIm Rechner öffnenBetroffene Produkte
| Hersteller | Produkt | Version |
|---|---|---|
| dotcms | dotcms | >= 3.0, <= 22.02 |
Mehrere CVSS-Bewertungen
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
Referenzen
- http://packetstormsecurity.com/files/167365/dotCMS-Shell-Upload.html(Exploit, Third Party Advisory, VDB Entry)
- https://groups.google.com/g/dotcms(Permissions Required, Third Party Advisory)
- https://www.cisa.gov/known-exploited-vulnerabilities-catalog?field_cve=CVE-2022-26352(US Government Resource)
Schwachstellentyp
CWE-434: Uneingeschränkter Upload von Dateien mit gefährlichem Typ
CVE-2022-26352 nutzt eine Schwäche beim uneingeschränkten Datei-Upload in der dotCMS ContentResource API aus, bei der hochgeladene Dateien nicht ordnungsgemäß auf Typ, Inhalt oder Zielpfad validiert werden. Dies ermöglicht einem Angreifer, Dateien mit ausführbarem Code (wie Web-Shells oder serverseitige Skripte) hochzuladen, die der Server verarbeitet und ausführt.
Mehr erfahren: CWE-434 — Uneingeschränkter Upload von Dateien mit gefährlichem Typ
CWE-22: Pfad-Traversierung
Die Schwachstelle beinhaltet auch eine Pfad-Traversierungs-Komponente, bei der die hochgeladene Datei durch Manipulation des Dateipfads mit Directory-Traversal-Sequenzen (z.B. ../) außerhalb des vorgesehenen Speicherverzeichnisses abgelegt werden kann.
Mehr erfahren: CWE-22 — Unzureichende Beschränkung eines Pfadnamens auf ein eingeschränktes Verzeichnis
Auswirkungsanalyse
CVE-2022-26352 stellt ein kritisches Risiko für Organisationen dar, die dotCMS für Content-Management verwenden. Die Schwachstelle ist aus der Ferne ohne Authentifizierung über das Netzwerk ausnutzbar, erfordert keine Benutzerinteraktion und weist eine geringe Angriffskomplexität auf. Durch die Kombination von uneingeschränktem Datei-Upload mit Directory Traversal kann ein Angreifer eine Web-Shell oder andere bösartige ausführbare Dateien an beliebige Stellen auf dem Server hochladen und Remote-Code-Ausführung mit den Rechten des dotCMS-Anwendungsprozesses erlangen. Dies kann zur vollständigen Serverkompromittierung, Datenexfiltration aus der CMS-Datenbank, Defacement der gehosteten Website und lateraler Bewegung innerhalb der Hosting-Infrastruktur führen. Die bestätigte Verbindung zu Ransomware-Kampagnen verstärkt die geschäftlichen Auswirkungen erheblich.
Exploit-Reifegrad
Die CISA hat die aktive Ausnutzung von CVE-2022-26352 bestätigt und die Schwachstelle ausdrücklich als in Ransomware-Kampagnen verwendet gekennzeichnet. Der EPSS-Score von 94,3 % (99. Perzentil) deutet auf nahezu sichere Ausnutzungsaktivität hin. Die Ausnutzung ist unkompliziert — ein Angreifer muss lediglich eine manipulierte HTTP-Anfrage an den ContentResource-API-Endpunkt mit einer bösartigen Datei und einem Traversal-Pfad senden, um Code-Ausführung zu erreichen. Das dotCMS Security Advisory SI-62 dokumentiert die Schwachstelle, und öffentliche Exploit-Informationen sind in der Sicherheits-Community verfügbar.
Behebung
- dotCMS-Sicherheitsupdates sofort anwenden: Gemäß der CISA-KEV-Vorgabe Updates gemäß Herstelleranweisungen installieren, wie im dotCMS Security Advisory SI-62 dokumentiert. Auf die gepatchte dotCMS-Version aktualisieren.
- Server auf Kompromittierungsindikatoren überprüfen: Vor und nach dem Patching das Dateisystem des Servers auf unerwartete Dateien in webzugänglichen Verzeichnissen untersuchen, insbesondere Web-Shells (JSP-, PHP- oder andere serverseitige Skriptdateien).
- Web Application Firewall (WAF) Regeln implementieren: WAF-Regeln einsetzen, um Datei-Upload-Anfragen mit Directory-Traversal-Sequenzen (../) und Versuche zum Upload ausführbarer Dateitypen an die ContentResource API zu erkennen und zu blockieren.
- Datei-Upload-Berechtigungen einschränken: dotCMS so konfigurieren, dass strenge Allowlists für hochladbare Dateitypen erzwungen werden, Uploads auf bekannt sichere Inhaltstypen beschränkt und ausführbare Dateierweiterungen blockiert werden.
- CMS-Server isolieren: Netzwerksegmentierung implementieren, um den Blast-Radius einer potenziellen Kompromittierung zu begrenzen.
Technische Details
CVE-2022-26352 ist eine kombinierte Schwachstelle aus uneingeschränktem Datei-Upload und Directory Traversal in der dotCMS ContentResource API. Der API-Endpunkt akzeptiert Datei-Uploads als Teil von Content-Erstellungs- und Verwaltungsworkflows, führt jedoch keine ausreichende Validierung des Dateityps und des Zielpfads durch. Ein Angreifer kann eine HTTP-Multipart-Upload-Anfrage erstellen, die eine Datei mit gefährlichem Typ (wie eine JSP-Web-Shell für Java-basierte Server) enthält und einen Dateipfad mit Directory-Traversal-Sequenzen (../) angibt. Der Server verarbeitet den Upload, ohne zu validieren, dass der Dateityp sicher ist oder dass der Zielpfad innerhalb des vorgesehenen Upload-Verzeichnisses bleibt. Die bösartige Datei wird an einen vom Angreifer kontrollierten Ort auf dem Server-Dateisystem geschrieben, wie ein webzugängliches Verzeichnis, in dem der Server sie als dynamische Seite ausführt.
Häufig gestellte Fragen
Wird CVE-2022-26352 aktiv ausgenutzt?
Ja. Die CISA hat die aktive Ausnutzung bestätigt und CVE-2022-26352 spezifisch als in Ransomware-Kampagnen verwendet identifiziert. Der EPSS-Score von 94,3 % (99. Perzentil) deutet auf nahezu sichere Ausnutzung bei exponierten Instanzen hin. Sofortiges Patching ist unerlässlich.
Welche Produkte sind von CVE-2022-26352 betroffen?
CVE-2022-26352 betrifft dotCMS, ein Open-Source-Content-Management-System. Die Schwachstelle befindet sich in der ContentResource API und betrifft Versionen vor dem im dotCMS Advisory SI-62 dokumentierten Sicherheitsfix.
Wie behebe ich CVE-2022-26352?
Aktualisieren Sie dotCMS auf die im Security Advisory SI-62 dokumentierte gepatchte Version. Nach dem Patching den Server auf Web-Shells oder verdächtige Dateien scannen, die vor dem Fix hochgeladen worden sein könnten. WAF-Regeln implementieren und hochladbare Dateitypen einschränken.
Wie schwerwiegend ist CVE-2022-26352?
CVE-2022-26352 ist eine kritische Schwachstelle, die nicht authentifizierte Remote-Code-Ausführung durch uneingeschränkten Datei-Upload kombiniert mit Directory Traversal ermöglicht. Der EPSS-Score von 94,3 % (99. Perzentil) und die bestätigte Verwendung in Ransomware-Kampagnen machen sie zu einer der risikoreichsten Schwachstellen für Organisationen, die dotCMS betreiben.
Hilfe beim Schwachstellenmanagement?
Unsere Sicherheitsexperten helfen Ihnen bei der Priorisierung und Behebung von Schwachstellen.