CVE-2023-49897
FXC AE1021, AE1021PE OS Command Injection Vulnerability
Beschreibung
CVE-2023-49897 ist eine OS-Command-Injection-Schwachstelle in der Firmware der FXC-Router-Modelle AE1021PE (bis Version 2.0.9) und AE1021 (bis Version 2.0.9). Ein authentifizierter Angreifer mit Netzwerkzugang kann über die Schwachstelle beliebige Betriebssystembefehle auf dem betroffenen Gerät ausführen. Die Schwachstelle ist mit einem CVSS-Score von 8,8 (HIGH) bewertet und wurde im Zusammenhang mit der Verbreitung der Mirai-Malware als Zero-Day aktiv ausgenutzt. Die CISA hat CVE-2023-49897 in den Known Exploited Vulnerabilities (KEV)-Katalog aufgenommen mit einer Behebungsfrist bis zum 11. Januar 2024. Administratoren wird dringend empfohlen, die Firmware umgehend auf eine gepatchte Version zu aktualisieren oder das Produkt außer Betrieb zu nehmen.
KEV-Informationen
CVSS-Score
CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:HIm Rechner öffnenBetroffene Produkte
| Hersteller | Produkt | Version |
|---|---|---|
| fxc | ae1021 firmware | < 2.0.10 |
| fxc | ae1021pe firmware | < 2.0.10 |
Mehrere CVSS-Bewertungen
CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H
CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H
Referenzen
- https://jvn.jp/en/vu/JVNVU92152057/(Third Party Advisory)
- https://www.akamai.com/blog/security-research/zero-day-vulnerability-spreading-mirai-patched(Exploit, Third Party Advisory)
- https://www.cisa.gov/news-events/ics-advisories/icsa-23-355-01(Third Party Advisory, US Government Resource)
- https://www.fxc.jp/news/20231206(Release Notes, Vendor Advisory)
- https://www.cisa.gov/known-exploited-vulnerabilities-catalog?field_cve=CVE-2023-49897(US Government Resource)
Schwachstellentyp
CWE-78: Improper Neutralization of Special Elements used in an OS Command (OS Command Injection)
Die Schwachstelle basiert auf einer OS-Command-Injection (CWE-78). Bei diesem Schwachstellentyp werden vom Benutzer bereitgestellte Eingaben ohne ausreichende Validierung oder Bereinigung an eine Betriebssystem-Shell weitergegeben. Spezielle Shell-Metazeichen (z. B. , , ) können genutzt werden, um zusätzliche, vom Angreifer kontrollierte Befehle einzuschleusen. Im Fall der FXC-Firmware können authentifizierte Angreifer über bestimmte Eingabefelder der Gerätekonfiguration beliebige OS-Befehle mit den Rechten des Firmware-Prozesses einschleusen und ausführen lassen.
Auswirkungsanalyse
Vertraulichkeit (HIGH): Ein Angreifer kann durch die Ausführung beliebiger Betriebssystembefehle auf gespeicherte Anmeldedaten, Netzwerkkonfigurationen und andere sensible Informationen auf dem Gerät zugreifen.
Integrität (HIGH): Der Angreifer kann Gerätekonfigurationen verändern, Firmware manipulieren oder das Gerät als Einfallstor in das interne Netzwerk missbrauchen.
Verfügbarkeit (HIGH): Durch willkürlich ausgeführte Befehle kann das Gerät zum Absturz gebracht, deaktiviert oder in ein Botnet (z. B. Mirai) eingebunden werden, was die Verfügbarkeit des Netzwerks erheblich beeinträchtigt.
Angriffsvektor: Die Schwachstelle ist über das Netzwerk ausnutzbar (Angriffskomplexität: Niedrig), erfordert jedoch niedrige Nutzerrechte (authentifizierter Zugriff). Da viele Heimrouter mit Standardanmeldedaten betrieben werden, ist die effektive Angriffshürde in der Praxis oft sehr gering.
Exploit-Reifegrad
Aktive Ausnutzung bestätigt: CVE-2023-49897 wurde aktiv als Zero-Day ausgenutzt, bevor ein Patch verfügbar war. Laut Akamai Security Research wurde die Schwachstelle genutzt, um die Mirai-Malware zu verbreiten und infizierte Geräte in ein Botnet einzubinden. Die CISA hat die Schwachstelle in den KEV-Katalog aufgenommen.
EPSS-Score: Mit einem EPSS-Score von 0,336 und einem Perzentil-Rang von 96,8 % gehört diese Schwachstelle zu den am wahrscheinlichsten ausnutzbaren Schwachstellen. Die dokumentierte aktive Ausnutzung bestätigt diesen hohen Risikowert. Es ist kein bekannter direkter Zusammenhang mit Ransomware-Kampagnen dokumentiert.
Behebung
- Firmware-Update einspielen — Aktualisieren Sie die Firmware der betroffenen FXC-Router (AE1021 und AE1021PE) auf eine Version, die nach Version 2.0.9 erschienen ist, gemäß der Herstellerempfehlung vom 6. Dezember 2023.
- Gerät außer Betrieb nehmen (falls kein Update verfügbar) — Wenn kein Firmware-Update verfügbar ist oder das Gerät das Ende seines Lebenszyklus erreicht hat, nehmen Sie es gemäß CISA-Empfehlung außer Betrieb und ersetzen Sie es durch ein unterstütztes Modell.
- Netzwerkzugang einschränken — Beschränken Sie den Administratorzugriff auf das Gerät auf vertrauenswürdige IP-Adressen und isolieren Sie das Gerät soweit möglich vom öffentlichen Internet.
- Standard-Anmeldedaten ändern — Stellen Sie sicher, dass alle Standardpasswörter geändert wurden, da diese die Ausnutzung durch authentifizierte Zugriffe erleichtern.
- Auf Kompromittierung prüfen — Untersuchen Sie Gerätelogs auf ungewöhnliche Aktivitäten oder Anzeichen einer Mirai-Infektion (hoher ausgehender Datenverkehr, unbekannte Verbindungen).
- CISA-Frist beachten — Bundesbehörden und regulierte Organisationen müssen die Schwachstelle gemäß CISA-Direktive bis zum 11. Januar 2024 beheben.
Technische Details
Schwachstellenkomponente: Die Schwachstelle befindet sich in der Firmware der FXC-Geräte AE1021 und AE1021PE (WLAN-Router bzw. Access Points). Betroffen sind alle Firmware-Versionen bis einschließlich 2.0.9.
Technischer Mechanismus: Die OS-Command-Injection (CWE-78) tritt auf, wenn die Firmware Benutzereingaben aus der Gerätekonfigurationsoberfläche unzureichend validiert und direkt an Shell-Interpreter weitergibt. Ein authentifizierter Angreifer kann durch spezielle Zeichen (z. B. Shell-Metazeichen) in Eingabefeldern beliebige Betriebssystembefehle einschleusen, die mit den Rechten des Firmware-Prozesses ausgeführt werden.
Dokumentierte Ausnutzung: Akamai Security Research dokumentierte, dass die Schwachstelle zur Verbreitung von Mirai-Malware-Varianten genutzt wurde. Infizierte Geräte wurden in Botnets eingebunden und für Distributed Denial-of-Service (DDoS)-Angriffe verwendet.
Betroffene Versionen: FXC AE1021 Firmware ≤ 2.0.9, FXC AE1021PE Firmware ≤ 2.0.9.
Häufig gestellte Fragen
Wird CVE-2023-49897 aktiv ausgenutzt?
Ja. CVE-2023-49897 wurde aktiv als Zero-Day ausgenutzt. Sicherheitsforscher von Akamai haben dokumentiert, dass die Schwachstelle zur Verbreitung der Mirai-Malware missbraucht wurde, um infizierte Router in ein Botnet einzubinden. Die CISA hat die Schwachstelle in den Known Exploited Vulnerabilities (KEV)-Katalog aufgenommen.
Welche Produkte sind von CVE-2023-49897 betroffen?
Betroffen sind die FXC-Router-Modelle AE1021 und AE1021PE mit Firmware-Versionen 2.0.9 und älter. Administratoren dieser Geräte sollten umgehend prüfen, welche Firmware-Version installiert ist, und entsprechend handeln.
Wie behebe ich CVE-2023-49897?
Spielen Sie das vom Hersteller FXC am 6. Dezember 2023 bereitgestellte Firmware-Update ein. Falls kein Update verfügbar ist oder das Gerät das Ende seines Lebenszyklus erreicht hat, empfiehlt die CISA, das Produkt außer Betrieb zu nehmen. Zusätzlich sollten Netzwerkzugang eingeschränkt und Standardpasswörter geändert werden.
Wie schwerwiegend ist CVE-2023-49897?
CVE-2023-49897 ist mit einem CVSS-Score von 8,8 als HIGH eingestuft. Die Schwachstelle ermöglicht es authentifizierten Angreifern, beliebige OS-Befehle über das Netzwerk auszuführen, was zu vollständiger Gerätekompromittierung führen kann. Die aktive Ausnutzung für Mirai-Botnet-Infektionen und der hohe EPSS-Wert (96,8. Perzentil) unterstreichen das hohe Risiko.
Hilfe beim Schwachstellenmanagement?
Unsere Sicherheitsexperten helfen Ihnen bei der Priorisierung und Behebung von Schwachstellen.