CVE-2022-31199
Netwrix Auditor Insecure Object Deserialization Vulnerability
Beschreibung
CVE-2022-31199 ist eine kritische Remote-Code-Execution-Schwachstelle in der Netwrix Auditor User Activity Video Recording-Komponente, die auf unsicherer Deserialisierung (CWE-502) basiert. Die Schwachstelle betrifft sowohl den Netwrix Auditor Server als auch die auf ueberwachten Systemen installierten Agenten und ermoeglicht es einem nicht authentifizierten Angreifer, ueber das Netzwerk beliebigen Code als NT AUTHORITY\SYSTEM auszufuehren. Mit einem CVSS-Score von 9.8 (Kritisch) und einem EPSS-Score von 5,9 % stellt CVE-2022-31199 ein aeusserst schwerwiegendes Sicherheitsrisiko dar. Die CISA hat die Schwachstelle in den KEV-Katalog aufgenommen und einen Zusammenhang mit Ransomware-Aktivitaeten bestaetigt, was die Dringlichkeit von Gegenmassnahmen zusaetzlich unterstreicht.
KEV-Informationen
CVSS-Score
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:HIm Rechner öffnenBetroffene Produkte
| Hersteller | Produkt | Version |
|---|---|---|
| netwrix | auditor | < 10.5 |
Mehrere CVSS-Bewertungen
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
Referenzen
- https://bishopfox.com/blog/netwrix-auditor-advisory(Exploit, Third Party Advisory)
- https://www.cisa.gov/known-exploited-vulnerabilities-catalog?field_cve=CVE-2022-31199(US Government Resource)
Schwachstellentyp
CWE-502: Deserialization of Untrusted Data
Bei CVE-2022-31199 wird eine unsichere Deserialisierung im zugrunde liegenden Kommunikationsprotokoll der Netwrix Auditor User Activity Video Recording-Komponente ausgenutzt. Diese Schwachstellenklasse tritt auf, wenn eine Anwendung serialisierte Daten aus nicht vertrauenswuerdigen Quellen verarbeitet, ohne diese ausreichend zu validieren. Ein Angreifer kann manipulierte serialisierte Objekte uebermitteln, die bei der Deserialisierung schaedlichen Code ausfuehren.
Mehr erfahren: CWE-502 — Deserialization of Untrusted Data
Auswirkungsanalyse
Angriffsvektor (Netzwerk): CVE-2022-31199 ist ueber das Netzwerk ausnutzbar, ohne dass physischer Zugriff auf das Zielsystem erforderlich ist — ein Angreifer kann die Schwachstelle vollstaendig remote ausloesen. Angriffskomplexitaet (Niedrig): Die Ausnutzung erfordert keine besonderen Bedingungen oder komplexe Vorbereitungen, was die Schwachstelle leicht reproduzierbar macht. Keine Authentifizierung erforderlich: Der Angreifer benoetigt keinerlei Zugriffsrechte oder Anmeldedaten, um die Schwachstelle auszunutzen — dies maximiert die potenzielle Angriffsflaeche. Keine Benutzerinteraktion erforderlich: Die Ausnutzung erfolgt vollstaendig automatisiert, ohne dass ein Benutzer eine Aktion durchfuehren muss. Vertraulichkeit, Integritaet und Verfuegbarkeit (jeweils Hoch): Die Ausfuehrung beliebigen Codes als NT AUTHORITY\SYSTEM ermoeglicht den vollstaendigen Zugriff auf das betroffene System — einschliesslich Datenexfiltration, Systemmanipulation und kompletter Uebernahme. Der CVSS-Score von 9.8 (Kritisch) spiegelt die maximale Gefaehrlichkeit dieser Schwachstelle wider. Die bestaetigte Nutzung durch Ransomware-Gruppen macht CVE-2022-31199 besonders bedrohlich fuer Unternehmen, die Netwrix Auditor einsetzen.
Exploit-Reifegrad
Aktive Ausnutzung: Die CISA hat bestaetigt, dass CVE-2022-31199 aktiv in freier Wildbahn ausgenutzt wird, und die Schwachstelle in den KEV-Katalog aufgenommen. Insbesondere wurde ein Zusammenhang mit Ransomware-Aktivitaeten bestaetigt, was die Schwachstelle zu einem bevorzugten Ziel fuer finanziell motivierte Angreifer macht. Oeffentlicher Exploit-Code: Fuer CVE-2022-31199 ist oeffentlicher Exploit-Code und ein detailliertes Advisory ueber Bishop Fox verfuegbar, das die technischen Details der Deserialisierungsschwachstelle dokumentiert. Ausnutzungswahrscheinlichkeit: Der EPSS-Score von 5,9 % (90. Perzentil) deutet auf eine erhoehte Wahrscheinlichkeit der Ausnutzung hin, die durch die Verfuegbarkeit oeffentlichen Exploit-Codes und die bestaetigte Ransomware-Nutzung verstaerkt wird.
Behebung
- Sicherheitsupdates anwenden: Gemaess der KEV-Anweisung der CISA muessen Patches des Herstellers umgehend installiert werden. Netwrix hat Sicherheitsupdates fuer den Auditor veroeffentlicht, die die Deserialisierungsschwachstelle in der User Activity Video Recording-Komponente beheben. Alle Instanzen des Netwrix Auditor — sowohl Server als auch Agenten auf ueberwachten Systemen — muessen aktualisiert werden.
- Netzwerkzugriff einschraenken: Den Netzwerkzugriff auf die Netwrix Auditor-Komponenten durch Firewall-Regeln und Netzwerksegmentierung strikt begrenzen. Nur autorisierte Systeme sollten mit den Netwrix Auditor-Diensten kommunizieren koennen. Die Ports des User Activity Video Recording-Protokolls sollten nicht aus dem Internet erreichbar sein.
- Deserialisierungsschutz implementieren: Pruefen, ob Netwrix Auditor Konfigurationsoptionen zur Einschraenkung der Deserialisierung bietet. Generell sollten nur vertrauenswuerdige Datentypen bei der Deserialisierung zugelassen werden (Whitelist-Ansatz).
- Kompromittierungsindikatoren pruefen: Aufgrund der bestaetigten Ransomware-Nutzung sollten alle Systeme, auf denen Netwrix Auditor installiert ist, auf Anzeichen einer Kompromittierung untersucht werden. Insbesondere ungewoehnliche Prozesse mit SYSTEM-Berechtigungen, verdaechtige Netzwerkverbindungen und Dateisystemveraenderungen pruefen.
- Deinstallation bei Nicht-Nutzung: Wenn die User Activity Video Recording-Funktion nicht aktiv genutzt wird, sollte die Komponente auf Server und Agenten deaktiviert oder deinstalliert werden, um die Angriffsflaeche zu reduzieren.
Technische Details
Schwachstellenmechanismus: CVE-2022-31199 nutzt eine unsichere Deserialisierung (CWE-502) im zugrunde liegenden Kommunikationsprotokoll der Netwrix Auditor User Activity Video Recording-Komponente aus. Das Protokoll verarbeitet serialisierte Objekte ohne ausreichende Validierung, sodass ein Angreifer manipulierte Daten uebermitteln kann, die bei der Deserialisierung zur Ausfuehrung beliebigen Codes fuehren. Da der betroffene Dienst im Kontext von NT AUTHORITY\SYSTEM ausgefuehrt wird, erlangt der Angreifer sofort die hoechsten Systemprivilegien. CVSS-Vektor (CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H): Der Netzwerk-Angriffsvektor ohne Authentifizierungs- oder Benutzerinteraktionsanforderung bei niedriger Komplexitaet stellt den schwerwiegendsten Fall dar — eine vollstaendig fernausnutzbare, nicht authentifizierte Schwachstelle mit maximalen Auswirkungen auf alle Schutzziele. Die Schwachstelle betrifft sowohl den zentralen Netwrix Auditor Server als auch die auf ueberwachten Systemen installierten Agenten, wodurch ein einzelner Exploit potenziell das gesamte Netzwerk von ueberwachten Systemen kompromittieren kann.
Häufig gestellte Fragen
Wird CVE-2022-31199 aktiv ausgenutzt?
Ja, die CISA hat CVE-2022-31199 in den KEV-Katalog aufgenommen und bestaetigt, dass die Schwachstelle aktiv von Ransomware-Gruppen ausgenutzt wird. Oeffentlicher Exploit-Code ist ueber Bishop Fox verfuegbar. Die Frist zur Behebung war der 1. August 2023.
Welche Produkte sind von CVE-2022-31199 betroffen?
CVE-2022-31199 betrifft Netwrix Auditor, insbesondere die User Activity Video Recording-Komponente. Sowohl der zentrale Netwrix Auditor Server als auch die auf ueberwachten Systemen installierten Agenten sind betroffen. Alle nicht gepatchten Versionen von Netwrix Auditor sind anfaellig.
Wie behebe ich CVE-2022-31199?
Die wichtigste Massnahme ist die sofortige Installation der von Netwrix bereitgestellten Sicherheitsupdates auf allen Instanzen — Server und Agenten. Zusaetzlich sollte der Netzwerkzugriff auf Netwrix Auditor-Dienste durch Firewall-Regeln eingeschraenkt und alle Systeme auf Kompromittierungsindikatoren geprueft werden.
Wie schwerwiegend ist CVE-2022-31199?
CVE-2022-31199 hat den maximalen CVSS-Score von 9.8 (Kritisch) und ermoeglicht die vollstaendige Systemuebernahme als NT AUTHORITY\SYSTEM ohne Authentifizierung. Die bestaetigte Nutzung durch Ransomware-Gruppen und die Verfuegbarkeit oeffentlichen Exploit-Codes machen diese Schwachstelle zu einer der gefaehrlichsten in der Netwrix Auditor-Plattform.
Hilfe beim Schwachstellenmanagement?
Unsere Sicherheitsexperten helfen Ihnen bei der Priorisierung und Behebung von Schwachstellen.