CVE-2023-41179
Trend Micro Apex One and Worry-Free Business Security Remote Code Execution Vulnerability
Beschreibung
CVE-2023-41179 ist eine Schwachstelle vom Typ Code Injection im Drittanbieter-AV-Deinstallationsmodul von Trend Micro Apex One (On-Premise und SaaS), Worry-Free Business Security und Worry-Free Business Security Services. Ein Angreifer, der bereits administrativen Zugang zur Verwaltungskonsole erlangt hat, kann das Modul manipulieren, um beliebige Befehle auf dem betroffenen System auszuführen. Die CISA hat CVE-2023-41179 in ihren KEV-Katalog aufgenommen und damit die aktive Ausnutzung in freier Wildbahn bestätigt. Mit einem CVSS-Score von 7.2 (HIGH) und einem EPSS-Score von 2,3 % stellt diese Sicherheitslücke ein erhebliches Risiko für Unternehmen dar, die Trend Micro Sicherheitsprodukte einsetzen.
KEV-Informationen
CVSS-Score
CVSS:3.1/AV:N/AC:L/PR:H/UI:N/S:U/C:H/I:H/A:HIm Rechner öffnenBetroffene Produkte
| Hersteller | Produkt | Version |
|---|---|---|
| trendmicro | apex one | 2019 |
| trendmicro | worry-free business security | 10.0 |
| trendmicro | worry-free business security services | - |
Mehrere CVSS-Bewertungen
CVSS:3.1/AV:N/AC:L/PR:H/UI:N/S:U/C:H/I:H/A:H
CVSS:3.1/AV:N/AC:L/PR:H/UI:N/S:U/C:H/I:H/A:H
Referenzen
- https://jvn.jp/en/vu/JVNVU90967486/(Third Party Advisory)
- https://success.trendmicro.com/jp/solution/000294706(Broken Link)
- https://success.trendmicro.com/solution/000294994(Broken Link)
- https://www.cisa.gov/known-exploited-vulnerabilities-catalog?field_cve=CVE-2023-41179(US Government Resource)
Schwachstellentyp
CWE-94: Improper Control of Generation of Code (Code Injection)
Bei CVE-2023-41179 ermöglicht eine unzureichende Kontrolle der Codegenerierung im Drittanbieter-AV-Deinstallationsmodul von Trend Micro-Produkten einem authentifizierten Angreifer, beliebigen Code einzuschleusen und auszuführen. Das Modul validiert Eingaben nicht ausreichend, bevor es diese als ausführbaren Code verarbeitet, wodurch ein Angreifer mit Konsolenzugriff die Integrität des Systems kompromittieren kann.
Mehr erfahren: CWE-94 — Improper Control of Generation of Code (Code Injection)
Auswirkungsanalyse
CVE-2023-41179 ist über das Netzwerk ausnutzbar, ohne dass physischer Zugang erforderlich ist, und die Angriffskomplexität ist gering. Allerdings erfordert die Ausnutzung hohe Berechtigungen — ein Angreifer muss zunächst administrativen Zugang zur Trend Micro Verwaltungskonsole erlangen. Keine Benutzerinteraktion ist notwendig, sobald der Konsolenzugang besteht. Vertraulichkeit (Hoch): Durch die Ausführung beliebiger Befehle kann der Angreifer auf alle vom System verwalteten Daten zugreifen, einschließlich Sicherheitskonfigurationen und vertraulicher Unternehmensdaten. Integrität (Hoch): Der Angreifer kann Sicherheitsrichtlinien deaktivieren, Malware einschleusen oder die Endpoint-Protection-Infrastruktur kompromittieren. Verfügbarkeit (Hoch): Die Sicherheitslösung selbst kann außer Betrieb gesetzt werden, wodurch Endpunkte ungeschützt bleiben. Mit einem CVSS-Score von 7.2 (HIGH) ist das Risiko trotz der erforderlichen hohen Berechtigungen erheblich, da eine kompromittierte Sicherheitskonsole weitreichende Folgen haben kann.
Exploit-Reifegrad
CVE-2023-41179 wird aktiv in freier Wildbahn ausgenutzt. Die CISA hat die Schwachstelle in ihren KEV-Katalog aufgenommen und damit die aktive Ausnutzung bestätigt, mit einer Behebungsfrist bis zum 12. Oktober 2023. Der EPSS-Score von 2,3 % (84,5. Perzentil) deutet auf eine moderate, aber signifikante Ausnutzungswahrscheinlichkeit hin. In den verfügbaren Referenzen ist kein öffentlicher Exploit-Code direkt verlinkt, jedoch haben Sicherheitshinweise von JVN die Schwachstelle dokumentiert. Ein Zusammenhang mit Ransomware ist derzeit nicht bekannt.
Behebung
- Sofortige Aktualisierung gemäß CISA-Anweisung: Sicherheitsupdates von Trend Micro umgehend anwenden oder die betroffenen Produkte außer Betrieb nehmen. Die CISA-Frist war der 12. Oktober 2023.
- Trend Micro-Produkte patchen: Trend Micro Apex One (On-Premise und SaaS), Worry-Free Business Security und Worry-Free Business Security Services auf die neuesten verfügbaren Versionen aktualisieren. Die Herstellerhinweise in den Trend Micro Success-Artikeln 000294706 und 000294994 beachten.
- Administrativen Konsolenzugang absichern: Zugang zur Trend Micro Verwaltungskonsole auf ein Minimum beschränken. Multi-Faktor-Authentifizierung (MFA) für alle administrativen Konten aktivieren und den Konsolenzugriff auf vertrauenswürdige Netzwerke einschränken.
- Überwachung der Verwaltungskonsole verstärken: Protokolle der Trend Micro Verwaltungskonsole auf ungewöhnliche Aktivitäten überprüfen, insbesondere auf Zugriffe auf das AV-Deinstallationsmodul, unautorisierte Befehlsausführungen und Änderungen an Sicherheitsrichtlinien.
- Eingabevalidierung und Code-Ausführungskontrolle verstärken: Langfristig sollten Anwendungen, die externe Module ausführen, strenge Eingabevalidierung und Whitelisting-Mechanismen implementieren, um das Einschleusen von bösartigem Code zu verhindern.
Technische Details
CVE-2023-41179 ist eine Code-Injection-Schwachstelle (CWE-94) im Drittanbieter-AV-Deinstallationsmodul, das in Trend Micro Apex One, Worry-Free Business Security und Worry-Free Business Security Services enthalten ist. Das Modul, das für die Deinstallation von Antivirus-Produkten anderer Hersteller vorgesehen ist, validiert Eingaben nicht ausreichend, bevor es diese als ausführbaren Code verarbeitet — wodurch ein Angreifer mit administrativem Konsolenzugang beliebige Systembefehle einschleusen und ausführen kann. Gemäß dem CVSS-Vektor (AV:N/AC:L/PR:H/UI:N/S:U/C:H/I:H/A:H) erfolgt der Angriff über das Netzwerk mit geringer Komplexität, erfordert jedoch hohe Berechtigungen (PR:H), da zunächst administrativer Zugang zur Verwaltungskonsole erlangt werden muss. Der Scope bleibt unverändert (S:U), die Auswirkungen auf Vertraulichkeit, Integrität und Verfügbarkeit sind jedoch jeweils hoch. Da es sich um ein Sicherheitsprodukt handelt, kann die Kompromittierung besonders schwerwiegend sein, da die Endpoint-Protection-Infrastruktur selbst betroffen ist.
Häufig gestellte Fragen
Wird CVE-2023-41179 aktiv ausgenutzt?
Ja, CVE-2023-41179 wird aktiv ausgenutzt. Die CISA hat die Schwachstelle in den KEV-Katalog aufgenommen und damit die aktive Ausnutzung bestätigt. Ein Zusammenhang mit Ransomware ist derzeit nicht bekannt. Der EPSS-Score von 2,3 % (84,5. Perzentil) deutet auf eine moderate Ausnutzungswahrscheinlichkeit hin.
Welche Produkte sind von CVE-2023-41179 betroffen?
Betroffen sind Trend Micro Apex One (sowohl On-Premise als auch SaaS), Worry-Free Business Security und Worry-Free Business Security Services. Die Schwachstelle befindet sich im Drittanbieter-AV-Deinstallationsmodul, das in allen genannten Produkten enthalten ist.
Wie behebe ich CVE-2023-41179?
Aktualisieren Sie alle betroffenen Trend Micro-Produkte auf die neuesten verfügbaren Versionen gemäß den Herstellerhinweisen. Zusätzlich sollten Sie den administrativen Konsolenzugang mit MFA absichern und den Zugriff auf vertrauenswürdige Netzwerke beschränken.
Wie schwerwiegend ist CVE-2023-41179?
CVE-2023-41179 hat einen CVSS-Score von 7.2 (HIGH) nach CVSS v3.1. Obwohl hohe Berechtigungen erforderlich sind, ermöglicht die Schwachstelle die vollständige Kompromittierung des Sicherheitsprodukts. Da es sich um Endpoint-Protection-Software handelt, kann die Ausnutzung die gesamte Sicherheitsinfrastruktur eines Unternehmens gefährden.
Hilfe beim Schwachstellenmanagement?
Unsere Sicherheitsexperten helfen Ihnen bei der Priorisierung und Behebung von Schwachstellen.