CVE-2023-29552
Service Location Protocol (SLP) Denial-of-Service Vulnerability
Beschreibung
CVE-2023-29552 ist eine Schwachstelle im Service Location Protocol (SLP, RFC 2608), die es einem nicht authentifizierten, entfernten Angreifer ermöglicht, beliebige Dienste zu registrieren. Durch die Nutzung von gespooftem UDP-Traffic kann ein Angreifer diese Schwachstelle für Denial-of-Service-Angriffe (DoS) mit einem erheblichen Verstärkungsfaktor missbrauchen. Betroffen sind unter anderem VMware ESXi, NetApp SMI-S Provider, SUSE Linux Enterprise Server und SUSE Manager Server sowie das SLP-Protokoll selbst. Die Schwachstelle wurde von der CISA in den KEV-Katalog aufgenommen, und der EPSS-Score von 93,0 % zeigt eine nahezu sichere aktive Ausnutzung an. Mit einem CVSS-Score von 7.5 (High) stellt CVE-2023-29552 eine erhebliche Bedrohung für die Verfügbarkeit betroffener Systeme dar.
KEV-Informationen
CVSS-Score
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:HIm Rechner öffnenBetroffene Produkte
| Hersteller | Produkt | Version |
|---|---|---|
| netapp | smi-s provider | - |
| suse | manager server | - |
| suse | linux enterprise server | 11; 12; 15 |
| vmware | esxi | < 7.0 |
| service location protocol project | service location protocol | - |
Mehrere CVSS-Bewertungen
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H
Referenzen
- https://blogs.vmware.com/security/2023/04/vmware-response-to-cve-2023-29552-reflective-denial-of-service-dos-amplification-vulnerability-in-slp.html(Third Party Advisory)
- https://curesec.com/blog/article/CVE-2023-29552-Service-Location-Protocol-Denial-of-Service-Amplification-Attack-212.html(Exploit, Third Party Advisory)
- https://datatracker.ietf.org/doc/html/rfc2608(Technical Description)
- https://github.com/curesec/slpload(Product)
- https://security.netapp.com/advisory/ntap-20230426-0001/(Third Party Advisory)
- https://www.bitsight.com/blog/new-high-severity-vulnerability-cve-2023-29552-discovered-service-location-protocol-slp(Exploit, Third Party Advisory)
- https://www.cisa.gov/news-events/alerts/2023/04/25/abuse-service-location-protocol-may-lead-dos-attacks(Third Party Advisory, US Government Resource)
- https://www.suse.com/support/kb/doc/?id=000021051(Third Party Advisory)
- https://www.cisa.gov/known-exploited-vulnerabilities-catalog?field_cve=CVE-2023-29552(US Government Resource)
Schwachstellentyp
Keine CWE-Zuordnung
Für CVE-2023-29552 wurde keine spezifische CWE-Kategorie zugewiesen. Die Schwachstelle betrifft das Service Location Protocol (SLP) und ermöglicht durch fehlende Authentifizierung bei der Dienstregistrierung eine Ausnutzung als Verstärker für Denial-of-Service-Angriffe. Das Kernproblem liegt in der protokollinhärenten Schwäche, dass beliebige Dienste ohne Authentifizierung registriert werden können.
Auswirkungsanalyse
CVE-2023-29552 ist mit einem CVSS-Score von 7.5 (High) bewertet und remote ohne physischen Zugang ausnutzbar (Attack Vector: Network). Die Angriffskomplexität ist niedrig und es werden keine besonderen Voraussetzungen benötigt. Keine Authentifizierung ist erforderlich und keine Benutzerinteraktion notwendig, was die Ausnutzung trivial macht. Die Auswirkung konzentriert sich vollständig auf die Verfügbarkeit (High), da die Schwachstelle für Denial-of-Service-Angriffe mit erheblichem Verstärkungsfaktor missbraucht werden kann. Vertraulichkeit und Integrität sind nicht direkt betroffen. In der Praxis können Angreifer SLP-fähige Systeme als Verstärker nutzen, um massive DDoS-Angriffe gegen Dritte durchzuführen. Der EPSS-Score von 93,0 % (99,8. Perzentil) bestätigt die nahezu sichere aktive Ausnutzung dieser Schwachstelle.
Exploit-Reifegrad
Öffentlicher Exploit-Code ist verfügbar für CVE-2023-29552 — unter anderem über Curesec und Bitsight. Zusätzlich ist ein Exploit-Tool auf GitHub frei verfügbar. Die CISA hat CVE-2023-29552 in den KEV-Katalog aufgenommen und damit die aktive Ausnutzung in freier Wildbahn bestätigt. Der EPSS-Score von 93,0 % deutet auf eine nahezu sichere Ausnutzungsaktivität hin. Eine Verbindung zu Ransomware-Kampagnen ist bislang nicht bekannt, jedoch wird die Schwachstelle aktiv für DDoS-Verstärkungsangriffe missbraucht.
Behebung
- Herstellerempfehlungen umsetzen: Wenden Sie die Mitigationsmaßnahmen gemäß den Herstelleranweisungen an oder stellen Sie die Nutzung von SLP ein, falls keine Patches verfügbar sind. Die CISA-Frist zur Behebung war der 29. November 2023.
- SLP deaktivieren: Deaktivieren Sie das Service Location Protocol auf allen Systemen, die es nicht zwingend benötigen. Für VMware ESXi folgen Sie den VMware-Empfehlungen zur Deaktivierung von SLP. Für SUSE-Systeme konsultieren Sie die SUSE Knowledge Base.
- Netzwerkzugriff einschränken: Blockieren Sie UDP- und TCP-Port 427 (SLP) an der Netzwerkgrenze mittels Firewall-Regeln. Stellen Sie sicher, dass SLP-Dienste nicht aus dem Internet erreichbar sind.
- Monitoring und Erkennung: Überwachen Sie den Netzwerkverkehr auf ungewöhnlich hohe SLP-Aktivitäten (Port 427). Achten Sie auf Anzeichen, dass Ihre Systeme als DDoS-Verstärker missbraucht werden, wie etwa ungewöhnlich hoher ausgehender UDP-Traffic.
- Langfristige Härtung: Evaluieren Sie den Einsatz von SLP in Ihrer Infrastruktur grundsätzlich und ersetzen Sie das Protokoll, wo möglich, durch sicherere Service-Discovery-Mechanismen mit integrierter Authentifizierung.
Technische Details
CVE-2023-29552 betrifft eine Design-Schwäche im Service Location Protocol (SLP, definiert in RFC 2608), die eine Denial-of-Service-Verstärkung ermöglicht. Das Protokoll erlaubt die Registrierung beliebiger Dienste ohne Authentifizierung. Ein Angreifer kann dies ausnutzen, indem er gefälschte (gespoofte) UDP-Pakete an SLP-fähige Systeme sendet und diese als Verstärker für DDoS-Angriffe gegen beliebige Ziele verwendet. Der CVSS-Vektor (AV:N/AC:L/PR:N/UI:N) bestätigt, dass der Angriff remote, mit niedriger Komplexität, ohne Privilegien und ohne Benutzerinteraktion durchführbar ist. Die Auswirkung ist auf die Verfügbarkeit beschränkt (A:H), da das Ziel des Angriffs die Überlastung von Netzwerkressourcen ist. Betroffen sind alle Systeme, die SLP implementieren, darunter VMware ESXi, NetApp SMI-S Provider und SUSE Linux Enterprise Server.
Häufig gestellte Fragen
Wird CVE-2023-29552 aktiv ausgenutzt?
Ja, CVE-2023-29552 wird aktiv ausgenutzt. Die CISA hat diese Schwachstelle in ihren KEV-Katalog aufgenommen, und öffentlicher Exploit-Code ist frei verfügbar. Der EPSS-Score von 93,0 % bestätigt die hohe Ausnutzungswahrscheinlichkeit. Die Schwachstelle wird aktiv für DDoS-Verstärkungsangriffe missbraucht, eine Verbindung zu Ransomware ist jedoch nicht bekannt.
Welche Produkte sind von CVE-2023-29552 betroffen?
CVE-2023-29552 betrifft alle Systeme, die das Service Location Protocol (SLP) implementieren. Zu den betroffenen Produkten gehören VMware ESXi, NetApp SMI-S Provider, SUSE Linux Enterprise Server, SUSE Manager Server sowie das SLP-Protokoll selbst. Die Schwachstelle ist protokollinhärent und nicht auf einen einzelnen Hersteller beschränkt.
Wie behebe ich CVE-2023-29552?
Die effektivste Maßnahme ist die Deaktivierung des SLP-Dienstes auf allen Systemen, die ihn nicht zwingend benötigen. Zusätzlich sollte der UDP- und TCP-Port 427 an der Netzwerkgrenze blockiert werden. Für VMware ESXi und SUSE-Systeme stehen herstellerspezifische Anleitungen zur Verfügung. Weitere Details finden Sie im Abschnitt Behebung.
Wie schwerwiegend ist CVE-2023-29552?
CVE-2023-29552 hat einen CVSS-Score von 7.5 (High) nach CVSS v3.1. Die Schwachstelle ermöglicht DDoS-Verstärkungsangriffe mit erheblichem Verstärkungsfaktor und wird aktiv ausgenutzt. Der EPSS-Score von 93,0 % (99,8. Perzentil) unterstreicht die hohe Bedrohungslage.
Hilfe beim Schwachstellenmanagement?
Unsere Sicherheitsexperten helfen Ihnen bei der Priorisierung und Behebung von Schwachstellen.