CVE-2023-29357
Microsoft SharePoint Server Privilege Escalation Vulnerability
Beschreibung
CVE-2023-29357 ist eine kritische Privilege-Escalation-Schwachstelle im Microsoft SharePoint Server, die es einem nicht authentifizierten Angreifer ermöglicht, Administratorrechte zu erlangen. Die Schwachstelle basiert auf einer fehlerhaften Implementierung des Authentifizierungsprotokolls (CWE-303), bei der gefälschte JWT-Authentifizierungstoken akzeptiert werden, ohne dass deren Signatur korrekt überprüft wird. Mit einem CVSS-Score von 9.8 (CRITICAL) ist CVE-2023-29357 im CISA KEV-Katalog gelistet und wurde im Zusammenhang mit Ransomware-Kampagnen aktiv ausgenutzt. Unternehmen sollten die bereitgestellten Microsoft-Patches unverzüglich anwenden.
KEV-Informationen
CVSS-Score
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:HIm Rechner öffnenCWEs
Betroffene Produkte
| Hersteller | Produkt | Version |
|---|---|---|
| microsoft | sharepoint server | 2019 |
Referenzen
- https://msrc.microsoft.com/update-guide/vulnerability/CVE-2023-29357(Patch, Vendor Advisory)
- https://www.cisa.gov/known-exploited-vulnerabilities-catalog?field_cve=CVE-2023-29357(US Government Resource)
Schwachstellentyp
CWE-303: Incorrect Implementation of Authentication Algorithm
CVE-2023-29357 ist auf CWE-303 (Incorrect Implementation of Authentication Algorithm) zurückzuführen. Diese Schwachstellenklasse beschreibt Fehler, bei denen ein Authentifizierungsalgorithmus zwar vorhanden ist, aber nicht korrekt implementiert wurde – sodass ein Angreifer dessen Sicherheitsprüfungen umgehen kann.
Im konkreten Fall akzeptiert der SharePoint Server JWT-Token (JSON Web Tokens), die mit dem Algorithmus "none" signiert sind oder gefälschte Signaturwerte enthalten. Da die Validierung der Tokensignatur mangelhaft implementiert ist, können Angreifer gültig aussehende Tokens ohne Kenntnis des geheimen Schlüssels erstellen und sich damit als beliebiger Nutzer – einschließlich Administrator – ausgeben.
Auswirkungsanalyse
Vertraulichkeit: Der Angriff hat einen hohen Einfluss auf die Vertraulichkeit. Mit den erlangten Administratorrechten kann ein Angreifer auf sämtliche in SharePoint gespeicherten Dokumente, Listen und Daten zugreifen, einschließlich sensibler Geschäftsinformationen.
Integrität: Der Einfluss auf die Integrität ist ebenfalls hoch. Angreifer können Inhalte manipulieren, löschen oder neue Inhalte einschleusen. In Kombination mit anderen Schwachstellen (z. B. CVE-2023-24955) ist auch Remote Code Execution möglich.
Verfügbarkeit: Der Einfluss auf die Verfügbarkeit ist hoch. Angreifer mit Administratorrechten können SharePoint-Dienste deaktivieren oder die Plattform für Ransomware-Angriffe nutzen.
Scope: Die Auswirkungen bleiben auf das betroffene SharePoint-System beschränkt (Scope Unchanged), können jedoch durch Lateral-Movement auf weitere Unternehmenssysteme ausgeweitet werden.
Exploit-Reifegrad
Exploit-Status: CVE-2023-29357 wird aktiv in der Praxis ausgenutzt und ist im CISA Known Exploited Vulnerabilities (KEV) Katalog gelistet. Der EPSS-Score beträgt 0.9436 (99,96. Perzentile), was eine extrem hohe Ausnutzungswahrscheinlichkeit signalisiert.
Ransomware-Bezug: Laut CISA-KEV besteht ein bekannter Zusammenhang mit Ransomware-Kampagnen. Bedrohungsakteure nutzen CVE-2023-29357 häufig in Kombination mit CVE-2023-24955 (Remote Code Execution), um vollständigen Systemzugang zu erlangen.
Angriffskomplexität: Der Angriff erfordert keine Authentifizierung, keine Benutzerinteraktion und ist über das Netzwerk durchführbar. Öffentliche Exploit-Code-Beispiele sind verfügbar, was die Einstiegshürde für Angreifer erheblich senkt.
KEV-Frist: Die CISA-Behebungsfrist war der 31. Januar 2024.
Behebung
- Microsoft-Patch anwenden: Installieren Sie umgehend das Sicherheitsupdate aus dem Microsoft Security Response Center (MSRC) für CVE-2023-29357. Das Update wurde im Rahmen des Juni 2023 Patch Tuesday veröffentlicht.
- AMSI-Integration aktivieren: Microsoft empfiehlt die Aktivierung der AMSI (Antimalware Scan Interface) Integration für SharePoint Server als zusätzliche Schutzmaßnahme gegen Exploits.
- Netzwerkzugang einschränken: Beschränken Sie den Zugang zu SharePoint-Administrationsoberflächen auf vertrauenswürdige Netzwerksegmente und implementieren Sie Firewall-Regeln.
- Protokollierung aktivieren: Aktivieren Sie erweiterte Protokollierung für SharePoint-Authentifizierungsereignisse, um verdächtige Token-Validierungsversuche zu erkennen.
- Patch-Status überprüfen: Stellen Sie sicher, dass SharePoint Server auf dem aktuellen Patch-Level ist und alle Sicherheitsupdates eingespielt wurden.
- Incident Response vorbereiten: Falls ein Kompromittierungsverdacht besteht, führen Sie eine forensische Analyse durch und isolieren Sie betroffene Systeme.
Technische Details
Angriffsvektor: Netzwerk (keine physische Nähe erforderlich)
Angriffskomplexität: Niedrig (keine besonderen Bedingungen erforderlich)
Erforderliche Rechte: Keine (unauthentifizierter Angriff)
Benutzerinteraktion: Keine
Technischer Ablauf: Die Schwachstelle liegt in der JWT-Token-Verarbeitung des SharePoint-Webservices. SharePoint nutzt JWT-Token für die API-Authentifizierung. Der Server akzeptiert Token, bei denen der Algorithmus-Header auf "none" gesetzt ist oder eine ungültige Signatur vorliegt, ohne diese korrekt abzulehnen. Ein Angreifer kann ein Token mit beliebigen Claims (z. B. erhöhten Berechtigungen oder einer Administrator-Identität) erstellen, das der Server als gültig akzeptiert.
Betroffene Versionen: Microsoft SharePoint Server (verschiedene Versionen, Details im MSRC Advisory)
CVSS:3.1-Vektor: AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
Häufig gestellte Fragen
Wird CVE-2023-29357 aktiv ausgenutzt?
Ja, CVE-2023-29357 wird aktiv ausgenutzt. Die Schwachstelle ist im CISA Known Exploited Vulnerabilities (KEV) Katalog gelistet und steht in Verbindung mit Ransomware-Kampagnen. Der EPSS-Score von 0.9436 (99,96. Perzentile) bestätigt eine sehr hohe reale Ausnutzungswahrscheinlichkeit. Öffentliche Proof-of-Concept-Exploits sind verfügbar.
Welche Produkte sind von CVE-2023-29357 betroffen?
Von CVE-2023-29357 ist Microsoft SharePoint Server betroffen. Details zu den spezifisch betroffenen Versionen sind im Microsoft Security Response Center (MSRC) Advisory unter https://msrc.microsoft.com/update-guide/vulnerability/CVE-2023-29357 dokumentiert.
Wie behebe ich CVE-2023-29357?
Installieren Sie den von Microsoft bereitgestellten Sicherheitspatch (veröffentlicht im Rahmen des Juni 2023 Patch Tuesday) so schnell wie möglich. Aktivieren Sie zusätzlich die AMSI-Integration für SharePoint und beschränken Sie den Netzwerkzugang zu Administrationsoberflächen. Überprüfen Sie Protokolldaten auf Anzeichen einer bereits erfolgten Kompromittierung.
Wie schwerwiegend ist CVE-2023-29357?
CVE-2023-29357 ist mit einem CVSS-Score von 9.8 als KRITISCH eingestuft. Die Schwachstelle ermöglicht einem nicht authentifizierten Angreifer vollständige Administratorrechte auf SharePoint Server zu erlangen, ohne Benutzerinteraktion zu benötigen. In Kombination mit weiteren Schwachstellen ist Remote Code Execution möglich, was das Risiko erheblich erhöht.
Hilfe beim Schwachstellenmanagement?
Unsere Sicherheitsexperten helfen Ihnen bei der Priorisierung und Behebung von Schwachstellen.