CVE-2022-29464
WSO2 Multiple Products Unrestrictive Upload of File Vulnerability
Beschreibung
CVE-2022-29464 ist eine Schwachstelle durch uneingeschränkten Dateiupload, die mehrere WSO2-Produkte betrifft, darunter WSO2 API Manager, Identity Server, Enterprise Integrator und Open Banking. Diese kritische Sicherheitslücke ermöglicht es einem nicht authentifizierten entfernten Angreifer, beliebige Dateien auf den Server hochzuladen, was zur Remote-Code-Execution führt. Die uneingeschränkte Dateiupload-Schwachstelle in WSO2-Produkten ermöglicht Angreifern das Bereitstellen von Web Shells und die vollständige Kontrolle über den kompromittierten Server. Die CISA hat CVE-2022-29464 in den KEV-Katalog mit einer Behebungsfrist bis zum 16. Mai 2022 aufgenommen, und die Schwachstelle wird bekanntermaßen in Ransomware-Kampagnen eingesetzt. Das EPSS-Perzentil von etwa 99,99 % bestätigt, dass dies zu den am aktivsten ausgenutzten Schwachstellen gehört.
KEV-Informationen
CVSS-Score
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:HIm Rechner öffnenBetroffene Produkte
| Hersteller | Produkt | Version |
|---|---|---|
| wso2 | api manager | >= 2.2.0, <= 4.0.0 |
| wso2 | enterprise integrator | >= 6.2.0, <= 6.6.0 |
| wso2 | identity server | >= 5.2.0, <= 5.11.0 |
| wso2 | identity server analytics | 5.4.0; 5.4.1; 5.5.0; 5.6.0 |
| wso2 | identity server as key manager | >= 5.3.0, <= 5.10.0 |
| wso2 | open banking am | >= 1.3.0, <= 2.0.0 |
| wso2 | open banking iam | 2.0.0 |
| wso2 | open banking km | >= 1.3.0, <= 1.5.0 |
Mehrere CVSS-Bewertungen
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
Referenzen
- http://packetstormsecurity.com/files/166921/WSO-Arbitrary-File-Upload-Remote-Code-Execution.html(Exploit, Third Party Advisory, VDB Entry)
- http://www.openwall.com/lists/oss-security/2022/04/22/7(Mailing List, Third Party Advisory)
- https://github.com/hakivvi/CVE-2022-29464(Exploit, Third Party Advisory)
- https://security.docs.wso2.com/en/latest/security-announcements/security-advisories/2022/WSO2-2021-1738/(Vendor Advisory)
- https://www.cisa.gov/known-exploited-vulnerabilities-catalog?field_cve=CVE-2022-29464(US Government Resource)
Schwachstellentyp
CWE-434: Unrestricted Upload of File with Dangerous Type
Die uneingeschränkte Dateiupload-Schwachstelle in WSO2-Produkten tritt auf, wenn die Anwendung den Typ, Inhalt oder die Größe hochgeladener Dateien nicht ordnungsgemäß validiert. Bei CVE-2022-29464 akzeptieren WSO2-Produkt-Endpunkte Dateiuploads ohne ausreichende Authentifizierung oder Dateityp-Einschränkungen, was Angreifern das Hochladen ausführbarer Dateien wie JSP-Web-Shells ermöglicht, die dann vom Server verarbeitet werden und beliebige Codeausführung ermöglichen.
Mehr erfahren: CWE-434 — Unrestricted Upload of File with Dangerous Type
Auswirkungsanalyse
CVE-2022-29464 ist über das Netzwerk aus der Ferne ohne jegliche Authentifizierung oder Benutzerinteraktion ausnutzbar, was die Ausnutzung im großen Maßstab trivial einfach macht. Die Schwachstelle ermöglicht es einem nicht authentifizierten Angreifer, beliebige Dateien, einschließlich Web Shells und schädlicher ausführbarer Dateien, auf den WSO2-Server hochzuladen und sofortige Remote-Code-Execution zu erreichen. Eine erfolgreiche Ausnutzung gewährt dem Angreifer die gleichen Berechtigungen wie der WSO2-Anwendungsserverprozess und ermöglicht typischerweise eine vollständige Serverkompromittierung, einschließlich des Zugriffs auf alle von der WSO2-Plattform verarbeiteten Daten, der Modifikation von Konfigurationen und Benutzerdaten sowie der potenziellen Unterbrechung aller auf dem Server gehosteten Dienste. Das EPSS-Perzentil von etwa 99,99 % weist auf nahezu sichere Ausnutzungsaktivität hin, und die CISA hat bestätigt, dass CVE-2022-29464 bekanntermaßen in Ransomware-Angriffen eingesetzt wird, was das Risiko für Organisationen mit verwundbaren WSO2-Deployments erheblich erhöht.
Exploit-Reifegrad
Die CISA hat die aktive Ausnutzung von CVE-2022-29464 bestätigt, indem sie die Schwachstelle in den KEV-Katalog mit einer Behebungsfrist bis zum 16. Mai 2022 aufgenommen hat. Die Schwachstelle wird bekanntermaßen in Ransomware-Kampagnen eingesetzt, was darauf hinweist, dass kriminelle Gruppen diese Lücke aktiv zur finanziellen Erpressung nutzen. Das EPSS-Perzentil von etwa 99,99 % deutet auf nahezu sichere Ausnutzungsaktivität hin und platziert diese Schwachstelle an der absoluten Spitze des Ausnutzungswahrscheinlichkeitsspektrums. Die Einfachheit der Ausnutzung, die lediglich eine nicht authentifizierte HTTP-Anfrage zum Hochladen einer Web Shell erfordert, kombiniert mit der kritischen Auswirkung der Remote-Code-Execution, macht CVE-2022-29464 zu einer Bedrohung mit höchster Priorität.
Behebung
-
WSO2-Sicherheitsupdates sofort anwenden, wie von der CISA gefordert: „Apply updates per vendor instructions.“ Aktualisieren Sie alle betroffenen WSO2-Produkte einschließlich API Manager, Identity Server, Enterprise Integrator und Open Banking auf gepatchte Versionen.
-
Auf Kompromittierungsindikatoren scannen vor und nach dem Patching, da die Schwachstelle möglicherweise bereits ausgenutzt wurde. Prüfen Sie auf nicht autorisierte Web Shells in WSO2-Deployment-Verzeichnissen, überprüfen Sie Server-Zugriffsprotokolle auf verdächtige Dateiupload-Anfragen und suchen Sie nach unerwarteten Dateien mit ausführbaren Endungen (.jsp, .war, .jar).
-
Netzwerkzugriff auf WSO2-Management-Interfaces einschränken, indem alle WSO2-Produkt-Endpunkte hinter eine Web Application Firewall (WAF) gestellt werden und der Zugriff auf Management-Konsolen und Dateiupload-Endpunkte auf vertrauenswürdige IP-Bereiche beschränkt wird.
-
Dateiupload-Validierung implementieren auf Anwendungs- und WAF-Ebene, um Uploads ausführbarer Dateitypen abzulehnen. Konfigurieren Sie WAF-Regeln zur Überprüfung von Datei-Content-Types und blockieren Sie Uploads, die serverseitigen ausführbaren Code enthalten, insbesondere JSP-, WAR- und JAR-Dateien aus nicht vertrauenswürdigen Quellen.
-
Ransomware-Incident-Response-Verfahren vorbereiten angesichts der bestätigten Nutzung dieser Schwachstelle in Ransomware-Kampagnen. Stellen Sie sicher, dass Offline-Backups aktuell und getestet sind, isolieren Sie potenziell kompromittierte WSO2-Server vom Netzwerk und beauftragen Sie Incident-Response-Ressourcen, falls Kompromittierungsindikatoren entdeckt werden.
Technische Details
CVE-2022-29464 ist eine Schwachstelle durch uneingeschränkten Dateiupload (CWE-434) in mehreren WSO2-Produkten, die nicht authentifizierten Angreifern das Hochladen beliebiger Dateien über HTTP-Anfragen an bestimmte Server-Endpunkte ermöglicht. Die Schwachstelle resultiert aus unzureichender Validierung hochgeladener Dateien, einschließlich fehlender Authentifizierungsprüfungen bei Dateiupload-Handlern und dem Fehlen von Dateityp-Einschränkungen, die das Hochladen ausführbarer Inhalte wie JSP-Web-Shells verhindern würden. Sobald eine Web Shell in das web-zugängliche Verzeichnis des WSO2-Servers hochgeladen wird, wird sie automatisch bereitgestellt und ist für den Angreifer zugänglich, was eine interaktive Befehlsausführungsschnittstelle auf dem kompromittierten Server bietet. Der Angriff erfordert keine Authentifizierung, keine Benutzerinteraktion und kann mit einer einfachen HTTP-POST-Anfrage ausgeführt werden.
Häufig gestellte Fragen
Wird CVE-2022-29464 aktiv ausgenutzt?
Ja, CVE-2022-29464 wird aktiv ausgenutzt, auch in Ransomware-Kampagnen. Die CISA hat diese Schwachstelle in den KEV-Katalog mit einer Behebungsfrist bis zum 16. Mai 2022 aufgenommen. Das EPSS-Perzentil von etwa 99,99 % bestätigt, dass dies zu den am aktivsten ausgenutzten Schwachstellen gehört.
Welche Produkte sind von CVE-2022-29464 betroffen?
CVE-2022-29464 betrifft mehrere WSO2-Produkte, darunter WSO2 API Manager, WSO2 Identity Server, WSO2 Enterprise Integrator und WSO2 Open Banking. Organisationen, die eines dieser Produkte betreiben, sollten ihre Version überprüfen und sofort Patches anwenden.
Wie behebe ich CVE-2022-29464?
Wenden Sie die WSO2-Sicherheitsupdates für alle betroffenen Produkte sofort an. Scannen Sie vor und nach dem Patching auf Kompromittierungsindikatoren, einschließlich nicht autorisierter Web Shells. Beschränken Sie den Netzwerkzugriff auf WSO2-Management-Interfaces und implementieren Sie WAF-Regeln gegen schädliche Dateiuploads.
Wie schwerwiegend ist CVE-2022-29464?
CVE-2022-29464 ist eine äußerst schwerwiegende Schwachstelle mit einem EPSS-Perzentil von etwa 99,99 % und bestätigter Nutzung in Ransomware-Angriffen. Die uneingeschränkte Dateiupload-Lücke ermöglicht nicht authentifizierte Remote-Code-Execution und damit eine vollständige Serverkompromittierung ohne jegliche Authentifizierung oder Benutzerinteraktion.
Hilfe beim Schwachstellenmanagement?
Unsere Sicherheitsexperten helfen Ihnen bei der Priorisierung und Behebung von Schwachstellen.