CVE-2023-45727
North Grid Proself Improper Restriction of XML External Entity (XXE) Reference Vulnerability
Beschreibung
CVE-2023-45727 ist eine XML External Entity (XXE) Injection-Schwachstelle in den Proself-Produkten von North Grid. Betroffen sind die Enterprise/Standard Edition bis Version 5.62, die Gateway Edition bis Version 1.65 und die Mail Sanitize Edition bis Version 1.08. Die Schwachstelle ermoeglicht es entfernten, nicht authentifizierten Angreifern, durch speziell praeparierte XML-Daten beliebige Dateien auf dem Server auszulesen, einschliesslich Kontoinformationen. Mit einem CVSS-Score von 7.5 (HIGH) und einem EPSS-Score von 21,05 % (95,5. Perzentil) stellt diese Schwachstelle eine erhebliche Bedrohung dar. Die CISA hat CVE-2023-45727 in den KEV-Katalog aufgenommen, mit einer Behebungsfrist bis zum 24. Dezember 2024.
KEV-Informationen
CVSS-Score
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:NIm Rechner öffnenBetroffene Produkte
| Hersteller | Produkt | Version |
|---|---|---|
| northgrid | proself | < 1.09; < 1.66; < 5.63 |
Mehrere CVSS-Bewertungen
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N
Referenzen
- https://jvn.jp/en/jp/JVN95981460/(Third Party Advisory)
- https://www.proself.jp/information/153/(Vendor Advisory)
- https://www.cisa.gov/known-exploited-vulnerabilities-catalog?field_cve=CVE-2023-45727(US Government Resource)
Schwachstellentyp
CWE-611: Improper Restriction of XML External Entity Reference
CWE-611 beschreibt eine Schwachstellenklasse, bei der eine Anwendung XML-Eingaben verarbeitet, die Referenzen auf externe Entitaeten enthalten, ohne diese ausreichend zu beschraenken. Im Fall von CVE-2023-45727 akzeptiert der Proself-Server XML-Anfragen, die External Entity Declarations enthalten, und loest diese auf. Dadurch kann ein Angreifer den Server dazu bringen, lokale Dateien zu lesen und deren Inhalt in der Antwort zurueckzugeben. Besonders kritisch ist der Zugriff auf Dateien mit Kontoinformationen und Zugangsdaten. Mehr erfahren
CWE-776: Improper Restriction of Recursive Entity References in DTDs ('XML Entity Expansion')
CWE-776 beschreibt eine Schwachstelle, bei der rekursive XML-Entity-Referenzen nicht eingeschraenkt werden. In Kombination mit der XXE-Schwachstelle koennen Angreifer durch verschachtelte Entity-Definitionen nicht nur Dateien exfiltrieren, sondern auch Denial-of-Service-Angriffe durch exponentielle Entity-Expansion ("Billion Laughs Attack") durchfuehren. Mehr erfahren
Auswirkungsanalyse
Exfiltration von Kontoinformationen: Die schwerwiegendste Auswirkung ist die Moeglichkeit, beliebige Dateien auf dem Proself-Server auszulesen, einschliesslich Dateien mit Kontoinformationen und Zugangsdaten. Vertraulichkeit (C:H) ist maximal betroffen, da ein Angreifer Zugriff auf saemtliche auf dem Server gespeicherten Dateien erhalten kann. Da Proself als Filesharing-Plattform eingesetzt wird, koennen auch die geteilten Dateien anderer Benutzer betroffen sein.
Keine Authentifizierung erforderlich: Der CVSS-Vektor zeigt, dass die Ausnutzung netzwerkbasiert (AV:N), ohne Privilegien (PR:N) und ohne Benutzerinteraktion (UI:N) moeglich ist. Jeder Angreifer mit Netzwerkzugang zum Proself-Server kann die Schwachstelle ausnutzen.
EPSS und Ransomware: Der EPSS-Score von 21,05 % (95,5. Perzentil) zeigt eine signifikante Ausnutzungswahrscheinlichkeit. Der Ransomware-Status ist als Unknown klassifiziert. Da die Schwachstelle primaer das Auslesen von Dateien ermoeglicht (I:N, A:N), liegt das Hauptrisiko in der Exfiltration vertraulicher Daten, die fuer weitere Angriffe oder Erpressung genutzt werden koennen.
Exploit-Reifegrad
CVE-2023-45727 weist eine hohe Exploit-Reife auf. Die Schwachstelle wird aktiv in freier Wildbahn ausgenutzt, was durch die Aufnahme in den KEV-Katalog der CISA bestaetigt wird.
EPSS-Kontext: Mit einem EPSS-Score von 21,05 % (95,5. Perzentil) liegt CVE-2023-45727 deutlich ueber dem Durchschnitt der ausnutzbaren Schwachstellen. XXE-Schwachstellen sind generell gut verstanden und einfach auszunutzen, da zahlreiche Tools und Techniken verfuegbar sind.
Oeffentliche Dokumentation: Das JVN Advisory bietet technische Details zur Schwachstelle. North Grid hat ein eigenes Advisory mit Patch-Informationen veroeffentlicht.
Ransomware-Verbindung: Der Ransomware-Status ist Unknown. Obwohl die Schwachstelle primaer das Auslesen von Dateien ermoeglicht, koennen die exfiltrierten Zugangsdaten als Einstiegspunkt fuer weitergehende Angriffe dienen, einschliesslich Ransomware-Deployments.
Behebung
- Proself sofort aktualisieren: Aktualisieren Sie auf Proself Enterprise/Standard Edition Version 5.63 oder hoeher, Gateway Edition Version 1.66 oder hoeher und Mail Sanitize Edition Version 1.09 oder hoeher. Informationen zur Aktualisierung finden Sie im Proself Security Advisory.
- Zugangsdaten zuruecksetzen: Da die Schwachstelle den Zugriff auf Kontoinformationen ermoeglicht, muessen alle Benutzerpasswoerter und gespeicherten Zugangsdaten als kompromittiert betrachtet und umgehend zurueckgesetzt werden.
- Netzwerkzugriff einschraenken: Beschraenken Sie den Zugriff auf den Proself-Server auf vertrauenswuerdige IP-Adressen und Netzwerke. Implementieren Sie eine Web Application Firewall (WAF) mit XXE-Schutzregeln als zusaetzliche Schutzschicht.
- Server-Protokolle analysieren: Ueberpruefen Sie die Zugriffsprotokolle auf verdaechtige XML-Anfragen, insbesondere Anfragen mit ungewoehnlichen Content-Type-Headern oder XML-Deklarationen mit externen Entity-Referenzen.
- Geteilte Dateien auf Exfiltration pruefen: Informieren Sie betroffene Benutzer darueber, dass auf dem Server gespeicherte Dateien moeglicherweise kompromittiert wurden. Pruefen Sie insbesondere, ob vertrauliche oder personenbezogene Daten betroffen sind, und informieren Sie gegebenenfalls die zustaendigen Datenschutzbehoerden.
Technische Details
Die Schwachstelle liegt in der XML-Verarbeitung der Proself-Anwendung. Der Server akzeptiert und verarbeitet XML-Eingaben, die Document Type Definitions (DTDs) mit externen Entity-Deklarationen enthalten, ohne diese zu beschraenken oder zu deaktivieren.
CVSS-Vektor im Detail: CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N - Der Angriff erfolgt netzwerkbasiert (AV:N) mit niedriger Komplexitaet (AC:L), erfordert keine Privilegien (PR:N) und keine Benutzerinteraktion (UI:N). Der Scope ist unveraendert (S:U). Nur die Vertraulichkeit ist maximal betroffen (C:H), waehrend Integritaet (I:N) und Verfuegbarkeit (A:N) nicht beeintraechtigt werden.
Angriffsmechanismus: Der Angreifer sendet eine HTTP-Anfrage mit speziell praepariertem XML-Inhalt an den Proself-Server. Der XML-Inhalt enthaelt eine DTD-Deklaration mit einer externen Entity, die auf eine lokale Datei verweist (z.B. file:///etc/passwd oder Proself-spezifische Konfigurationsdateien). Der XML-Parser des Servers loest die externe Entity auf, liest die referenzierte Datei und gibt deren Inhalt als Teil der XML-Antwort zurueck. Durch gezielte Dateireferenzen kann der Angreifer Kontoinformationen, Konfigurationsdateien und andere sensitive Daten exfiltrieren. Betroffen sind alle drei Proself-Editionen: Enterprise/Standard (bis 5.62), Gateway (bis 1.65) und Mail Sanitize (bis 1.08).
Häufig gestellte Fragen
Was ist Proself und wo wird es eingesetzt?
Proself ist ein japanisches Filesharing- und File-Transfer-System von North Grid Corporation. Es wird vorwiegend in japanischen Unternehmen und Behoerden fuer den sicheren Dateiaustausch eingesetzt. Die Schwachstelle ist besonders kritisch, da Proself haeufig vertrauliche Geschaeftsdokumente und personenbezogene Daten verarbeitet.
Wie funktioniert ein XXE-Angriff (XML External Entity)?
Bei einem XXE-Angriff schleust der Angreifer eine speziell praeparierte XML-Nachricht mit einer externen Entity-Deklaration ein. Der XML-Parser des Servers loedt dann die referenzierte Ressource — in der Regel eine lokale Datei — und gibt deren Inhalt in der Antwort zurueck. Dies ermoeglicht das Auslesen beliebiger Dateien auf dem Server.
Welche Daten koennen durch CVE-2023-45727 exfiltriert werden?
Die Schwachstelle ermoeglicht den Zugriff auf beliebige Dateien, die der Webserver-Prozess lesen kann. Laut der offiziellen Beschreibung umfasst dies insbesondere Dateien mit Kontoinformationen. Zusaetzlich koennen Konfigurationsdateien, Datenbankzugangsdaten und die auf dem Server gespeicherten Filesharing-Daten betroffen sein.
Kann eine WAF einen XXE-Angriff verhindern?
Eine Web Application Firewall kann XXE-Angriffe teilweise erkennen und blockieren, indem sie XML-Anfragen auf verdaechtige DTD-Deklarationen und Entity-Referenzen prueft. Allerdings gibt es Umgehungstechniken, daher ist ein Update auf die gepatchte Version die einzige zuverlaessige Loesung.
Hilfe beim Schwachstellenmanagement?
Unsere Sicherheitsexperten helfen Ihnen bei der Priorisierung und Behebung von Schwachstellen.