CVE-2022-39197
Fortra Cobalt Strike Teamserver Cross-Site Scripting (XSS) Vulnerability
Beschreibung
CVE-2022-39197 ist eine Cross-Site-Scripting-Schwachstelle (XSS) in HelpSystems Cobalt Strike bis einschließlich Version 4.7, die es einem entfernten Angreifer ermöglicht, HTML-Code auf dem Cobalt-Strike-Teamserver auszuführen. Um die Schwachstelle auszunutzen, muss ein Angreifer zunächst eine Cobalt-Strike-Payload inspizieren, das Benutzernamenfeld in der Payload modifizieren (oder eine neue Payload mit den extrahierten Informationen erstellen und dort das Benutzernamenfeld manipulieren). Mit einem CVSS-Score von 6.1 (MEDIUM) und der Aufnahme in den CISA-KEV-Katalog stellt CVE-2022-39197 eine bestätigte, aktiv ausgenutzte Bedrohung für Cobalt-Strike-Umgebungen dar. Der EPSS-Score von 20,2 % zeigt eine erhebliche Exploit-Wahrscheinlichkeit an.
KEV-Informationen
CVSS-Score
CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:C/C:L/I:L/A:NIm Rechner öffnenBetroffene Produkte
| Hersteller | Produkt | Version |
|---|---|---|
| helpsystems | cobalt strike | < 4.7.1 |
Mehrere CVSS-Bewertungen
CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:C/C:L/I:L/A:N
CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:C/C:L/I:L/A:N
Referenzen
- https://www.cobaltstrike.com/blog/out-of-band-update-cobalt-strike-4-7-1/(Mitigation, Vendor Advisory)
- https://www.cobaltstrike.com/blog/tag/release/(Release Notes, Vendor Advisory)
- https://www.cisa.gov/known-exploited-vulnerabilities-catalog?field_cve=CVE-2022-39197(US Government Resource)
Schwachstellentyp
CWE-79: Improper Neutralization of Input During Web Page Generation (Cross-site Scripting)
Bei CVE-2022-39197 werden Benutzereingaben in Beacon-Metadaten — insbesondere das Benutzernamenfeld — nicht ausreichend bereinigt, bevor sie in der Java-Swing-Oberfläche des Cobalt-Strike-Teamservers dargestellt werden. Da Swing bestimmte HTML-Tags in Zeichenketten interpretiert, ermöglicht diese mangelnde Eingabevalidierung einem Angreifer, bösartigen HTML-Code einzuschleusen, der im Kontext der Teamserver-UI ausgeführt wird.
Mehr erfahren: CWE-79 — Improper Neutralization of Input During Web Page Generation
Auswirkungsanalyse
CVE-2022-39197 wird mit einem CVSS-Score von 6.1 (MEDIUM) bewertet, was den begrenzten direkten Einfluss auf Vertraulichkeit und Integrität widerspiegelt. Angriffsvektor (Netzwerk): Die Schwachstelle ist aus der Ferne ausnutzbar, ohne physischen Zugang zum System. Angriffskomplexität (Niedrig): Es sind keine besonderen Vorbedingungen erforderlich, sobald die Payload-Modifikation erfolgt ist. Erforderliche Berechtigungen (Keine): Ein Angreifer benötigt keine Authentifizierung am Cobalt-Strike-System. Benutzerinteraktion (Erforderlich): Ein Operator muss die manipulierten Beacon-Daten in der Cobalt-Strike-UI ansehen. Scope (Changed): Der Angriff kann Ressourcen außerhalb der verwundbaren Komponente betreffen, da der eingeschleuste Code im Kontext der Swing-Anwendung ausgeführt wird. Vertraulichkeit (Niedrig) und Integrität (Niedrig): Ein erfolgreicher Angriff kann Informationen aus der Teamserver-Oberfläche offenlegen und die Darstellung manipulieren. Besonders kritisch ist jedoch, dass diese Schwachstelle als Einstiegspunkt für die schwerwiegendere CVE-2022-42948 (CVSS 9.8) diente, die zu vollständiger Remote-Code-Execution eskaliert.
Exploit-Reifegrad
Die CISA hat CVE-2022-39197 in ihren KEV-Katalog aufgenommen und damit die aktive Ausnutzung in freier Wildbahn bestätigt. Der EPSS-Score von 20,2 % (95,4. Perzentil) zeigt eine erhebliche Exploit-Wahrscheinlichkeit an. Das Out-of-Band-Update von Cobalt Strike (Version 4.7.1) bestätigt die Schwere der Bedrohung, und Informationen zum Patch sind über den offiziellen Cobalt Strike Blog verfügbar. Besonders relevant ist, dass der Fix in Version 4.7.1 unvollständig war und zur Entdeckung von CVE-2022-42948 führte — bei der Kombination beider Schwachstellen ergibt sich ein vollständiger RCE-Angriffspfad gegen Cobalt-Strike-Teamserver.
Behebung
- CISA-Maßnahme umsetzen und Cobalt Strike aktualisieren: Gemäß KEV-Katalog müssen Mitigationsmaßnahmen nach Herstelleranweisungen angewandt oder das Produkt bei fehlenden Patches abgeschaltet werden. Aktualisieren Sie Cobalt Strike über Version 4.7.1 hinaus auf die neueste verfügbare Version, da der Fix in 4.7.1 unvollständig war und CVE-2022-42948 ermöglichte. Informationen zum Update finden Sie im Cobalt Strike Out-of-Band-Update-Blog.
- Netzwerkzugang zum Teamserver einschränken: Beschränken Sie den Zugriff auf den Cobalt-Strike-Teamserver strikt auf autorisierte Operator-Systeme über Firewall-Regeln und VPN. Der Teamserver sollte niemals direkt aus dem Internet erreichbar sein, um die Angriffsfläche zu minimieren.
- Beacon-Daten validieren: Implementieren Sie Monitoring-Maßnahmen, die eingehende Beacon-Registrierungen auf ungewöhnliche oder verdächtige Benutzernamenfelder mit HTML-Inhalten prüfen. Verdächtige Payloads sollten isoliert und analysiert werden.
- Teamserver-Logs überwachen: Prüfen Sie die Teamserver-Protokolle regelmäßig auf Anzeichen manipulierter Beacons, ungewöhnliche Verbindungsmuster oder Hinweise auf XSS-Versuche in der Operator-Oberfläche.
- Langfristige Absicherung: Implementieren Sie ein Output-Encoding-Framework für alle Daten, die in der Cobalt-Strike-UI dargestellt werden, und stellen Sie sicher, dass nur autorisierte, lizenzierte Instanzen in Ihrer Umgebung betrieben werden.
Technische Details
CVE-2022-39197 ist eine Cross-Site-Scripting-Schwachstelle (CWE-79) in HelpSystems Cobalt Strike bis einschließlich Version 4.7. Technischer Mechanismus: Die Schwachstelle liegt in der Verarbeitung von Beacon-Metadaten durch die Java-Swing-basierte Benutzeroberfläche. Ein Angreifer muss zunächst eine vorhandene Cobalt-Strike-Payload inspizieren, um die Konfigurationsstruktur zu extrahieren. Anschließend wird das Benutzernamenfeld (username field) in der Payload mit manipuliertem HTML-Code modifiziert. Wenn der modifizierte Beacon sich am Teamserver registriert, interpretiert die Swing-UI die HTML-Tags im Benutzernamen und führt den eingebetteten Code aus. CVSS-Vektor (CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:C/C:L/I:L/A:N): Der Scope-Wert 'Changed' ist hier signifikant, da die HTML-Injection in der Swing-UI Auswirkungen über die Beacon-Datenanzeige hinaus haben kann. Die Benutzerinteraktion ist erforderlich, da ein Operator die Beacon-Daten in der UI betrachten muss. Zusammenhang mit CVE-2022-42948: Der Fix für CVE-2022-39197 in Version 4.7.1 war unvollständig — er blockierte bestimmte HTML-Tags, ließ aber alternative Injection-Pfade offen, die als CVE-2022-42948 identifiziert wurden und zu vollständiger Remote-Code-Execution eskalierten.
Häufig gestellte Fragen
Wird CVE-2022-39197 aktiv ausgenutzt?
Ja, CVE-2022-39197 wird aktiv ausgenutzt. Die CISA hat diese Schwachstelle in ihren KEV-Katalog aufgenommen und damit die Ausnutzung in freier Wildbahn offiziell bestätigt. Der EPSS-Score von 20,2 % (95,4. Perzentil) unterstreicht die erhebliche Wahrscheinlichkeit aktiver Exploitation gegen ungepatchte Cobalt-Strike-Instanzen.
Welche Produkte sind von CVE-2022-39197 betroffen?
CVE-2022-39197 betrifft HelpSystems (jetzt Fortra) Cobalt Strike bis einschließlich Version 4.7. Sowohl der Teamserver als auch die Operator-Clients sind betroffen, da die XSS-Schwachstelle in den Java-Swing-UI-Komponenten liegt, die Beacon-Metadaten anzeigen. Der Fix wurde als Out-of-Band-Update in Version 4.7.1 veröffentlicht, wobei dieser Fix unvollständig war.
Wie behebe ich CVE-2022-39197?
Aktualisieren Sie Cobalt Strike auf die neueste verfügbare Version — nicht nur auf 4.7.1, da diese Version den Fix für CVE-2022-39197 unvollständig implementiert und die Folgeschwachstelle CVE-2022-42948 enthält. Beschränken Sie zusätzlich den Netzwerkzugang zum Teamserver und überwachen Sie eingehende Beacon-Registrierungen auf manipulierte Metadaten.
Wie schwerwiegend ist CVE-2022-39197?
CVE-2022-39197 hat einen CVSS-Score von 6.1 (MEDIUM), was den direkten Einfluss der XSS-Schwachstelle widerspiegelt. Allerdings ist die tatsächliche Bedrohung höher einzuschätzen, da diese Schwachstelle als Einstiegspunkt für CVE-2022-42948 (CVSS 9.8, CRITICAL) dient, die zu vollständiger Remote-Code-Execution im Cobalt-Strike-Teamserver führt.
Hilfe beim Schwachstellenmanagement?
Unsere Sicherheitsexperten helfen Ihnen bei der Priorisierung und Behebung von Schwachstellen.