CVE-2023-45249
Acronis Cyber Infrastructure (ACI) Insecure Default Password Vulnerability
Beschreibung
CVE-2023-45249 ist eine kritische Schwachstelle in Acronis Cyber Infrastructure (ACI), die auf die Verwendung von Standard-Passwoertern zurueckzufuehren ist und Remote Command Execution ermoeglicht. Die Schwachstelle wird mit einem CVSS-Score von 9.8 (CRITICAL) bewertet und betrifft mehrere ACI-Versionen vor den jeweiligen gepatchten Builds (5.0.1-61, 5.1.1-71, 5.2.1-69, 5.3.1-53 und 5.4.4-132).
Die CISA hat CVE-2023-45249 in den KEV-Katalog aufgenommen, mit einer Behebungsfrist bis zum 2024-08-19. Der EPSS-Score von 93,34 % (99,8. Perzentil) weist auf eine extrem hohe Wahrscheinlichkeit aktiver Ausnutzung hin. Angreifer koennen ohne Authentifizierung und ohne Benutzerinteraktion beliebige Befehle auf dem betroffenen System ausfuehren.
KEV-Informationen
CVSS-Score
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:HIm Rechner öffnenCWEs
Betroffene Produkte
| Hersteller | Produkt | Version |
|---|---|---|
| acronis | cyber infrastructure | < 5.0.1-61; >= 5.1.1, < 5.1.1-71; >= 5.2.1, < 5.2.1-69; >= 5.3.1, < 5.3.1-53; >= 5.4.4, < 5.4.4-132 |
Mehrere CVSS-Bewertungen
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
CVSS:3.0/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
Referenzen
- https://security-advisory.acronis.com/advisories/SEC-6452(Vendor Advisory)
- https://www.securityweek.com/acronis-product-vulnerability-exploited-in-the-wild/(Press/Media Coverage)
- https://www.cisa.gov/known-exploited-vulnerabilities-catalog?field_cve=CVE-2023-45249(Third Party Advisory, US Government Resource)
Schwachstellentyp
Verwendung von Standard-Passwoertern
CVE-2023-45249 basiert auf der Verwendung von Standard-Passwoertern in Acronis Cyber Infrastructure, die nach der Installation nicht geaendert wurden. Diese Art von Schwachstelle ermoeglicht es Angreifern, sich mit allgemein bekannten Standard-Zugangsdaten zu authentifizieren und anschliessend beliebige Befehle auf dem System auszufuehren. Die Problematik faellt in den Bereich von CWE-1393 (Use of Default Password), bei dem ein Produkt mit vordefinierten Zugangsdaten ausgeliefert wird, die vom Administrator nicht zwingend geaendert werden muessen.
Standard-Passwoerter in Infrastruktur-Software sind besonders gefaehrlich, da sie systematisch von Angreifern und automatisierten Scannern getestet werden und haeufig in oeffentlich zugaenglichen Dokumentationen oder Datenbanken gelistet sind.
Weitere Informationen: CWE-1393 -- Use of Default Password
Auswirkungsanalyse
Die Auswirkungen von CVE-2023-45249 sind verheerend, da Acronis Cyber Infrastructure eine zentrale Rolle in der IT-Infrastruktur vieler Unternehmen spielt und Speicher-, Compute- sowie Netzwerkressourcen verwaltet. Der CVSS-Vektor CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H beschreibt die maximale Bedrohungsstufe: Keinerlei Authentifizierung oder Benutzerinteraktion erforderlich bei niedriger Angriffskomplexitaet. Vertraulichkeit (Hoch): Ein Angreifer erhaelt durch die Remote Command Execution vollstaendigen Zugriff auf alle in der ACI-Umgebung gespeicherten Daten, einschliesslich Backups, virtueller Maschinen und Konfigurationsdateien. Integritaet (Hoch): Mit Befehlsausfuehrung auf Systemebene koennen Daten manipuliert, Backups korrumpiert und Schadsoftware installiert werden. Verfuegbarkeit (Hoch): Die gesamte Infrastruktur kann heruntergefahren, verschluesselt oder dauerhaft beschaedigt werden. Der EPSS-Score von 93,34 % (99,8. Perzentil) und die CISA-Aufnahme in den KEV-Katalog bestaetigen die aktive Ausnutzung in freier Wildbahn. Fuer Unternehmen, die Acronis ACI als Hyperconverged Infrastructure einsetzen, bedeutet eine Kompromittierung potenziell den Verlust der gesamten IT-Umgebung.
Exploit-Reifegrad
CVE-2023-45249 weist eine hohe Exploit-Reife auf. Die CISA hat die aktive Ausnutzung bestaetigt und die Schwachstelle mit einer Behebungsfrist bis zum 2024-08-19 in den KEV-Katalog aufgenommen. Der EPSS-Score von 93,34 % (99,8. Perzentil) gehoert zu den hoechsten beobachteten Werten. Der Ransomware-Status ist als Unknown eingestuft, was jedoch angesichts der Schwere der Schwachstelle keine Entwarnung bedeutet. SecurityWeek berichtete ueber die aktive Ausnutzung der Schwachstelle in freier Wildbahn. Das Acronis Security Advisory SEC-6452 bestaetigt die Schwachstelle und stellt Informationen zu den betroffenen Versionen bereit. Da die Ausnutzung lediglich die Kenntnis von Standard-Passwoertern erfordert, ist die Einstiegshuerde fuer Angreifer extrem niedrig.
Behebung
-
Acronis Cyber Infrastructure umgehend aktualisieren: Installieren Sie die gepatchten Builds fuer Ihre ACI-Version: 5.0.1-61, 5.1.1-71, 5.2.1-69, 5.3.1-53 oder 5.4.4-132. Konsultieren Sie das Acronis Security Advisory SEC-6452 fuer detaillierte Versionsinformationen.
-
Standard-Passwoerter sofort aendern: Unabhaengig vom Patch-Status muessen saemtliche Standard-Passwoerter in der ACI-Umgebung durch starke, einzigartige Passwoerter ersetzt werden. Dies betrifft alle administrativen Konten und Service-Accounts.
-
Netzwerkzugang einschraenken: Stellen Sie sicher, dass die ACI-Management-Interfaces nur aus vertrauenswuerdigen Netzwerken erreichbar sind. Implementieren Sie Netzwerksegmentierung und Firewall-Regeln, um den Zugriff auf autorisierte Administratoren zu beschraenken.
-
Forensische Untersuchung durchfuehren: Wenn Ihre ACI-Installation vor dem Patchen aus dem Netzwerk erreichbar war, pruefen Sie Systemprotokolle auf verdaechtige Aktivitaeten. Suchen Sie nach unautorisierten Befehlsausfuehrungen, neuen Benutzerkonten und ungewoehnlichen Netzwerkverbindungen.
-
Monitoring und Haertung implementieren: Aktivieren Sie umfassendes Logging fuer alle administrativen Zugriffe. Implementieren Sie Multi-Faktor-Authentifizierung fuer Management-Interfaces und richten Sie Alarmierungen fuer fehlgeschlagene Anmeldeversuche ein.
Technische Details
CVE-2023-45249 betrifft Acronis Cyber Infrastructure (ACI) in allen Versionen vor den folgenden gepatchten Builds: 5.0.1-61, 5.1.1-71, 5.2.1-69, 5.3.1-53 und 5.4.4-132. Der CVSS-Vektor CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H erreicht den Hoechstwert von 9.8 fuer Schwachstellen ohne Scope-Aenderung. Angriffsvektor (Netzwerk): Die Schwachstelle ist remote ueber das Netzwerk ausnutzbar. Angriffskomplexitaet (Niedrig): Die Ausnutzung erfordert lediglich die Kenntnis der Standard-Passwoerter, die oeffentlich dokumentiert oder leicht zu erraten sind. Berechtigungen (Keine): Da Standard-Passwoerter verwendet werden, ist keine vorherige Authentifizierung mit individuellen Zugangsdaten erforderlich. Benutzerinteraktion (Keine): Der Angriff kann vollstaendig automatisiert durchgefuehrt werden. Der Angriffsmechanismus basiert darauf, dass ACI-Installationen mit vordefinierten Standard-Passwoertern ausgeliefert werden. Ein Angreifer authentifiziert sich mit diesen bekannten Zugangsdaten und erlangt dadurch die Moeglichkeit, beliebige Betriebssystembefehle auf dem Server auszufuehren. Die Kombination aus Netzwerkerreichbarkeit und bekannten Zugangsdaten macht diese Schwachstelle trivial ausnutzbar.
Häufig gestellte Fragen
Welche Acronis ACI-Versionen sind betroffen?
Betroffen sind alle Acronis Cyber Infrastructure Versionen vor den folgenden Builds: 5.0.1-61, 5.1.1-71, 5.2.1-69, 5.3.1-53 und 5.4.4-132. Wenn Sie eine dieser Versionen oder aelter einsetzen, sollten Sie umgehend aktualisieren. Die gepatchten Versionen sind ueber den normalen Acronis-Update-Kanal verfuegbar.
Warum sind Standard-Passwoerter so gefaehrlich?
Standard-Passwoerter werden in oeffentlich zugaenglicher Dokumentation verroeffentlicht und sind in Datenbanken wie dem Default Password Repository gesammelt. Automatisierte Scanner testen systematisch bekannte Standard-Passwoerter gegen erreichbare Systeme. Im Fall von ACI ermoeglicht ein erfolgreiches Login mit Standard-Passwoertern die vollstaendige Kontrolle ueber die Infrastruktur.
Wird CVE-2023-45249 fuer Ransomware-Angriffe genutzt?
Der Ransomware-Status ist derzeit als Unknown eingestuft. Angesichts der Tatsache, dass die Schwachstelle Remote Command Execution auf Infrastruktur-Ebene ermoeglicht und die CISA die aktive Ausnutzung bestaetigt hat, ist der Einsatz in Ransomware-Kampagnen wahrscheinlich. Unternehmen sollten nicht auf eine Bestaetigung warten, sondern sofort patchen.
Reicht es, nur die Standard-Passwoerter zu aendern?
Das Aendern der Standard-Passwoerter ist eine wichtige Sofortmassnahme, reicht aber allein nicht aus. Der Patch behebt moeglicherweise weitere Schwachstellen in der Authentifizierungskette. Ausserdem koennte ein System, das bereits vor der Passwortaenderung kompromittiert wurde, Backdoors enthalten. Daher ist sowohl das Patchen als auch eine forensische Ueberpruefung erforderlich.
Hilfe beim Schwachstellenmanagement?
Unsere Sicherheitsexperten helfen Ihnen bei der Priorisierung und Behebung von Schwachstellen.