CVE-2022-42948
Fortra Cobalt Strike User Interface Remote Code Execution Vulnerability
Beschreibung
CVE-2022-42948 ist eine kritische Remote-Code-Execution-Schwachstelle in Cobalt Strike 4.7.1, die durch unsachgemäßes Escaping von HTML-Tags in Swing-UI-Komponenten verursacht wird. Durch das Einschleusen von manipuliertem HTML-Code kann ein Angreifer aus der Ferne beliebigen Code in der Cobalt-Strike-Benutzeroberfläche ausführen. Die Schwachstelle basiert auf einer fehlerhaften Ausgabe-Kodierung (CWE-116) und erfordert weder Authentifizierung noch Benutzerinteraktion. Mit einem CVSS-Score von 9.8 (CRITICAL) und der Aufnahme in den CISA-KEV-Katalog stellt CVE-2022-42948 eine besonders ironische Bedrohung dar, da Cobalt Strike selbst ein häufig von Angreifern missbrauchtes Penetration-Testing-Werkzeug ist.
KEV-Informationen
CVSS-Score
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:HIm Rechner öffnenCWEs
Betroffene Produkte
| Hersteller | Produkt | Version |
|---|---|---|
| helpsystems | cobalt strike | 4.7.1 |
Mehrere CVSS-Bewertungen
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
Referenzen
- https://thesecmaster.com/how-to-fix-cve-2022-42948-a-critical-rce-vulnerability-in-cobalt-strike/(Technical Description, Third Party Advisory)
- https://www.cobaltstrike.com/blog/(Vendor Advisory)
- https://www.redpacketsecurity.com/helpsystems-cobalt-strike-code-execution-cve-2022-42948/(Third Party Advisory)
- https://www.cisa.gov/known-exploited-vulnerabilities-catalog?field_cve=CVE-2022-42948(US Government Resource)
Schwachstellentyp
CWE-116: Improper Encoding or Escaping of Output
Bei CVE-2022-42948 werden HTML-Tags in der Cobalt-Strike-Benutzeroberfläche nicht korrekt für die Darstellung in Java-Swing-Komponenten escaped. Swing interpretiert standardmäßig bestimmte HTML-Tags in Zeichenketten, und die fehlende Bereinigung der Ausgabe ermöglicht es, über manipulierte Inhalte Java-Code einzuschleusen und im Kontext des Teamservers oder des Operator-Clients auszuführen.
Mehr erfahren: CWE-116 — Improper Encoding or Escaping of Output
Auswirkungsanalyse
CVE-2022-42948 wird mit einem CVSS-Score von 9.8 (CRITICAL) bewertet, dem höchstmöglichen Schweregrad. Angriffsvektor (Netzwerk): Die Schwachstelle ist aus der Ferne über das Netzwerk ausnutzbar, ohne physischen Zugang. Angriffskomplexität (Niedrig): Für die Ausnutzung sind keine speziellen Voraussetzungen erforderlich. Erforderliche Berechtigungen (Keine): Ein Angreifer benötigt keine Authentifizierung am Cobalt-Strike-System. Benutzerinteraktion (Keine): Der Angriff kann ohne jegliche Mitwirkung eines Benutzers erfolgen. Vertraulichkeit (Hoch), Integrität (Hoch) und Verfügbarkeit (Hoch): Ein erfolgreicher Exploit ermöglicht die vollständige Kompromittierung des Cobalt-Strike-Systems — ein Angreifer kann auf alle gespeicherten Daten zugreifen, die Software manipulieren und den Betrieb stören. Die Besonderheit dieser Schwachstelle liegt darin, dass Cobalt Strike ein offensives Sicherheitswerkzeug ist, und eine Kompromittierung des Teamservers einem Angreifer potenziell Zugang zu allen laufenden Operationen und verbundenen Beacon-Implantaten verschafft.
Exploit-Reifegrad
Die CISA hat CVE-2022-42948 in ihren KEV-Katalog aufgenommen und damit die aktive Ausnutzung in freier Wildbahn bestätigt. Der EPSS-Score von 19,5 % (95,3. Perzentil) deutet auf eine erhebliche, wenn auch nicht allgegenwärtige Exploit-Aktivität hin. Die Schwachstelle steht in engem Zusammenhang mit CVE-2022-39197, einer XSS-Schwachstelle in Cobalt Strike bis Version 4.7 — CVE-2022-42948 entstand als Umgehung des unvollständigen Fixes für CVE-2022-39197 in Version 4.7.1. Technische Beschreibungen sind über TheSECMaster und Red Packet Security verfügbar.
Behebung
- CISA-Maßnahme umsetzen und Cobalt Strike aktualisieren: Gemäß KEV-Katalog müssen Mitigationsmaßnahmen nach Herstelleranweisungen angewandt oder das Produkt bei fehlenden Patches abgeschaltet werden. Aktualisieren Sie Cobalt Strike auf eine Version nach 4.7.1, die das HTML-Escaping in Swing-Komponenten korrekt implementiert. Die Hinweise finden Sie auf dem offiziellen Cobalt Strike Blog.
- Netzwerkzugang zum Teamserver einschränken: Beschränken Sie den Zugriff auf den Cobalt-Strike-Teamserver strikt auf autorisierte Operator-Systeme über Firewall-Regeln und VPN-Verbindungen. Der Teamserver sollte niemals direkt aus dem Internet erreichbar sein.
- Eingabevalidierung und Output-Encoding prüfen: Stellen Sie sicher, dass alle benutzerdefinierten Malleable-C2-Profile und Beacon-Konfigurationen keine manipulierbaren Felder (insbesondere Username-Felder) exponieren, die zur Auslösung der Schwachstelle genutzt werden könnten.
- Teamserver-Aktivität überwachen: Überprüfen Sie Teamserver-Logs auf ungewöhnliche Beacon-Registrierungen oder Payloads mit eingebettetem HTML-Code. Achten Sie auf verdächtige Verbindungsversuche von unbekannten Quellen.
- Lizenzierte Instanzen verifizieren: Stellen Sie sicher, dass nur autorisierte, lizenzierte Cobalt-Strike-Instanzen in Ihrer Umgebung betrieben werden, und entfernen Sie alle nicht autorisierten oder veralteten Installationen.
Technische Details
CVE-2022-42948 ist eine Schwachstelle im Ausgabe-Encoding (CWE-116) der Cobalt-Strike-Version 4.7.1. Technischer Mechanismus: Java-Swing-Komponenten interpretieren standardmäßig bestimmte HTML-Tags in Zeichenketten, die zur Anzeige verwendet werden. In Cobalt Strike werden Informationen wie Beacon-Metadaten (einschließlich Benutzernamen) in der UI angezeigt, ohne dass HTML-Tags korrekt escaped werden. Ein Angreifer kann manipulierte Beacon-Daten mit eingebetteten HTML-Elementen senden, die beim Rendern in der Swing-UI ausgeführt werden. Über spezielle HTML-Konstrukte wie das Laden externer Ressourcen oder die Nutzung von Java-Swing-spezifischen Tags kann dies zu einer vollständigen Remote-Code-Execution eskaliert werden. CVSS-Vektor (CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H): Der Vektor zeigt, dass keine Authentifizierung, keine Benutzerinteraktion und keine besondere Angriffskomplexität erforderlich sind, wobei alle drei Schutzzielen (Vertraulichkeit, Integrität, Verfügbarkeit) vollständig kompromittiert werden. Kontext: Diese Schwachstelle entstand als Umgehung des Fixes für CVE-2022-39197, wobei die Korrektur in Version 4.7.1 unvollständig war und alternative HTML-Injection-Pfade offenließ.
Häufig gestellte Fragen
Wird CVE-2022-42948 aktiv ausgenutzt?
Ja, die CISA hat CVE-2022-42948 in ihren KEV-Katalog aufgenommen und damit die aktive Ausnutzung bestätigt. Der EPSS-Score von 19,5 % (95,3. Perzentil) zeigt eine erhebliche Exploit-Wahrscheinlichkeit an. Da Cobalt Strike selbst ein häufig von Angreifern genutztes Werkzeug ist, sind Schwachstellen darin besonders attraktive Ziele.
Welche Produkte sind von CVE-2022-42948 betroffen?
CVE-2022-42948 betrifft Cobalt Strike von HelpSystems (jetzt Fortra) in Version 4.7.1. Sowohl der Teamserver als auch die Operator-Clients sind verwundbar, da die fehlerhafte HTML-Verarbeitung in den Java-Swing-UI-Komponenten stattfindet. Versionen vor 4.7.1 sind von der verwandten Schwachstelle CVE-2022-39197 betroffen.
Wie behebe ich CVE-2022-42948?
Aktualisieren Sie Cobalt Strike auf die neueste verfügbare Version, die das HTML-Escaping in Swing-Komponenten vollständig behebt. Beschränken Sie zusätzlich den Netzwerkzugang zum Teamserver auf autorisierte Systeme und überwachen Sie eingehende Beacon-Daten auf verdächtige HTML-Inhalte.
Wie schwerwiegend ist CVE-2022-42948?
CVE-2022-42948 hat einen CVSS-Score von 9.8 (CRITICAL), den höchstmöglichen Schweregrad für eine Netzwerkschwachstelle. Die Schwachstelle ermöglicht unauthentifizierte Remote-Code-Execution in der Cobalt-Strike-UI. Die Kompromittierung eines Cobalt-Strike-Teamservers kann einem Angreifer Zugang zu allen laufenden Operationen und verbundenen Implantaten verschaffen.
Hilfe beim Schwachstellenmanagement?
Unsere Sicherheitsexperten helfen Ihnen bei der Priorisierung und Behebung von Schwachstellen.