CVE-2022-47986
IBM Aspera Faspex Code Execution Vulnerability
Beschreibung
CVE-2022-47986 ist eine kritische Schwachstelle in IBM Aspera Faspex 4.4.2 Patch Level 1 und früheren Versionen, die auf einer unsicheren YAML-Deserialisierung (CWE-502) basiert. Ein entfernter, nicht authentifizierter Angreifer kann durch das Senden eines speziell präparierten Aufrufs an eine veraltete API beliebigen Code auf dem betroffenen System ausführen. Mit einem CVSS-Score von 9,8 (CRITICAL) und einem EPSS-Score von 94,35 % gehört diese Sicherheitslücke zu den am aktivsten ausgenutzten Schwachstellen. Die CISA hat CVE-2022-47986 in den KEV-Katalog aufgenommen und eine Verbindung zu Ransomware-Aktivitäten bestätigt. IBM hat die betroffene API in Aspera Faspex 4.4.2 Patch Level 2 entfernt.
KEV-Informationen
CVSS-Score
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:HIm Rechner öffnenBetroffene Produkte
| Hersteller | Produkt | Version |
|---|---|---|
| ibm | aspera faspex | <= 4.4.1; 4.4.2 |
Mehrere CVSS-Bewertungen
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
Referenzen
- http://packetstormsecurity.com/files/171772/IBM-Aspera-Faspex-4.4.1-YAML-Deserialization.html(Third Party Advisory, VDB Entry)
- https://exchange.xforce.ibmcloud.com/vulnerabilities/243512(VDB Entry, Vendor Advisory)
- https://www.ibm.com/support/pages/node/6952319(Patch, Vendor Advisory)
- https://www.cisa.gov/known-exploited-vulnerabilities-catalog?field_cve=CVE-2022-47986(US Government Resource)
Schwachstellentyp
CWE-502: Deserialization of Untrusted Data
CVE-2022-47986 fällt in die Schwachstellenkategorie CWE-502 (Deserialisierung nicht vertrauenswürdiger Daten). Diese Schwachstellenklasse entsteht, wenn eine Anwendung serialisierte Daten aus nicht vertrauenswürdigen Quellen deserialisiert, ohne diese ausreichend zu validieren. Im Fall von IBM Aspera Faspex wird über eine veraltete API YAML-Code entgegengenommen und unsicher deserialisiert, was einem Angreifer die Einschleusung und Ausführung beliebiger Befehle ermöglicht.
Weitere Informationen: CWE-502 — Deserialization of Untrusted Data
Auswirkungsanalyse
Angriffsvektor (Netzwerk): CVE-2022-47986 ist aus der Ferne über das Netzwerk ausnutzbar, ohne dass physischer Zugang zum System erforderlich ist. Angriffskomplexität (Niedrig): Die Ausnutzung erfordert keine besonderen Bedingungen oder spezielles Wissen — der Angriff ist einfach durchzuführen. Keine Authentifizierung erforderlich: Ein Angreifer benötigt keinerlei Zugangsdaten oder Berechtigungen, um die Schwachstelle auszunutzen. Keine Benutzerinteraktion notwendig: Die Ausnutzung erfordert keine Aktion eines Benutzers. Vertraulichkeit, Integrität und Verfügbarkeit (jeweils Hoch): Bei erfolgreicher Ausnutzung erhält der Angreifer vollständige Kontrolle über das betroffene System, kann vertrauliche Daten auslesen, Dateien manipulieren und den Dienst lahmlegen. Der CVSS-Score von 9,8 (CRITICAL) spiegelt die extreme Gefährlichkeit wider. Mit einem EPSS-Score von 94,35 % (Perzentile: 99,95 %) ist die Wahrscheinlichkeit einer aktiven Ausnutzung extrem hoch. Die bestätigte Ransomware-Assoziation unterstreicht, dass diese Schwachstelle von Bedrohungsakteuren aktiv für Erpressungsangriffe genutzt wird.
Exploit-Reifegrad
Öffentlicher Exploit-Code ist verfügbar für CVE-2022-47986, unter anderem über Packet Storm Security. Die CISA hat die aktive Ausnutzung dieser Schwachstelle bestätigt und sie mit einer Behebungsfrist bis zum 14. März 2023 in den KEV-Katalog aufgenommen. Darüber hinaus ist CVE-2022-47986 mit Ransomware-Kampagnen assoziiert, was auf den Einsatz durch professionelle Bedrohungsakteure hindeutet. Der EPSS-Score von 94,35 % signalisiert eine nahezu sichere Ausnutzungsaktivität. Organisationen, die IBM Aspera Faspex in ungepatchten Versionen betreiben, müssen von einer akuten Bedrohung ausgehen und umgehend handeln.
Behebung
- Sofortiges Update durchführen: IBM Aspera Faspex auf Version 4.4.2 Patch Level 2 oder höher aktualisieren. In dieser Version wurde die betroffene veraltete API vollständig entfernt.
- Produkt vom Netz nehmen, falls kein Patch möglich ist: Gemäß CISA-Empfehlung betroffene Aspera-Faspex-Instanzen offline nehmen oder den Zugang auf vertrauenswürdige Netzwerke beschränken, wenn ein sofortiges Update nicht umsetzbar ist.
- Netzwerksegmentierung und Zugriffsbeschränkungen: Den Netzwerkzugriff auf Aspera-Faspex-Server auf autorisierte IP-Bereiche beschränken und den Zugang zu veralteten API-Endpunkten über Firewall-Regeln oder WAF blockieren.
- Systemlogs auf Kompromittierungshinweise prüfen: Server-Logs auf verdächtige API-Aufrufe, ungewöhnliche Prozesse oder Indikatoren für YAML-Deserialisierungsangriffe untersuchen. Insbesondere auf Zeichen von Ransomware-Aktivität achten.
- Zugangsdaten rotieren und Incident Response vorbereiten: Nach einer potenziellen Kompromittierung alle Zugangsdaten des betroffenen Systems und verbundener Dienste zurücksetzen. Bei Verdacht auf erfolgreiche Ausnutzung umgehend Incident-Response-Prozesse einleiten.
Technische Details
Schwachstellenmechanismus: CVE-2022-47986 basiert auf einer unsicheren Deserialisierung von YAML-Daten (CWE-502) in IBM Aspera Faspex. Die Schwachstelle befindet sich in einer veralteten API-Schnittstelle, die YAML-Eingaben entgegennimmt und ohne ausreichende Validierung deserialisiert. Ausnutzung: Ein Angreifer sendet einen speziell präparierten API-Aufruf mit manipulierten YAML-Daten an den verwundbaren Endpunkt. Durch die unsichere Deserialisierung werden die eingebetteten Befehle serverseitig ausgeführt, was zu Remote Code Execution (RCE) führt. CVSS-Vektor: Der Vektorstring CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H bestätigt, dass der Angriff über das Netzwerk ohne Authentifizierung, ohne Benutzerinteraktion und mit niedriger Komplexität durchführbar ist und alle drei Schutzziele vollständig kompromittiert. Behebung durch IBM: IBM hat die betroffene veraltete API in Aspera Faspex 4.4.2 Patch Level 2 vollständig entfernt, wodurch der Angriffsvektor eliminiert wird.
Häufig gestellte Fragen
Wird CVE-2022-47986 aktiv ausgenutzt?
Ja, CVE-2022-47986 wird aktiv ausgenutzt. Die CISA hat die Schwachstelle in den KEV-Katalog aufgenommen und eine Verbindung zu Ransomware-Kampagnen bestätigt. Die Behebungsfrist war der 14. März 2023. Der EPSS-Score von 94,35 % (Perzentile: 99,95 %) belegt die extrem hohe Ausnutzungswahrscheinlichkeit.
Welche Produkte sind von CVE-2022-47986 betroffen?
Betroffen ist IBM Aspera Faspex in Version 4.4.2 Patch Level 1 und allen früheren Versionen. Ab Aspera Faspex 4.4.2 Patch Level 2 ist die verwundbare API entfernt und die Schwachstelle behoben.
Wie behebe ich CVE-2022-47986?
Die primäre Behebungsmaßnahme ist das Update auf IBM Aspera Faspex 4.4.2 Patch Level 2 oder höher. Falls ein sofortiges Update nicht möglich ist, sollte die betroffene Instanz vom Netzwerk isoliert oder offline genommen werden. Weitere Details finden Sie im Abschnitt Behebung auf dieser Seite.
Wie schwerwiegend ist CVE-2022-47986?
CVE-2022-47986 ist mit einem CVSS-Score von 9,8 als CRITICAL eingestuft — die höchste Risikostufe. Die Schwachstelle ermöglicht Remote Code Execution ohne Authentifizierung und wird aktiv in Ransomware-Angriffen eingesetzt. Der EPSS-Score von 94,35 % bestätigt die akute Bedrohungslage.
Hilfe beim Schwachstellenmanagement?
Unsere Sicherheitsexperten helfen Ihnen bei der Priorisierung und Behebung von Schwachstellen.