CVE-2024-23692
Rejetto HTTP File Server Improper Neutralization of Special Elements Used in a Template Engine Vulnerability
Beschreibung
CVE-2024-23692 ist eine kritische Template-Injection-Schwachstelle in Rejetto HTTP File Server (HFS), die es einem unauthentifizierten Angreifer ermoeglicht, durch das Senden einer speziell praeparierten HTTP-Anfrage beliebige Befehle auf dem betroffenen System auszufuehren. Die Schwachstelle wird mit einem CVSS-Score von 9.8 (CRITICAL) bewertet und betrifft HFS bis einschliesslich Version 2.3m, die zum Zeitpunkt der CVE-Zuweisung bereits nicht mehr unterstuetzt wurde.
Die CISA hat CVE-2024-23692 in den KEV-Katalog aufgenommen, mit einer Behebungsfrist bis zum 2024-07-30. Der EPSS-Score von 94,30 % (99,9. Perzentil) weist auf eine extrem hohe Ausnutzungswahrscheinlichkeit hin. Mehrere oeffentliche Exploits, einschliesslich eines Metasploit-Moduls, sind verfuegbar.
KEV-Informationen
CVSS-Score
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:HIm Rechner öffnenBetroffene Produkte
| Hersteller | Produkt | Version |
|---|---|---|
| rejetto | http file server | <= 2.4 |
Mehrere CVSS-Bewertungen
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
Referenzen
- https://github.com/rapid7/metasploit-framework/pull/19240(Exploit, Issue Tracking, Patch)
- https://mohemiv.com/all/rejetto-http-file-server-2-3m-unauthenticated-rce/(Exploit)
- https://vulncheck.com/advisories/rejetto-unauth-rce(Third Party Advisory)
- https://www.vicarius.io/vsociety/posts/cve-2024-23692-detect-rejetto-hfs-vulnerability(Exploit, Third Party Advisory)
- https://www.vicarius.io/vsociety/posts/cve-2024-23692-rejetto-hfs-mitigate-vulnerability(Exploit, Third Party Advisory)
- https://www.vicarius.io/vsociety/posts/unauthenticated-rce-flaw-in-rejetto-http-file-server-cve-2024-23692(Exploit, Third Party Advisory)
- https://www.cisa.gov/known-exploited-vulnerabilities-catalog?field_cve=CVE-2024-23692(US Government Resource)
Schwachstellentyp
Template Injection
CVE-2024-23692 basiert auf einer Template-Injection-Schwachstelle im Rejetto HTTP File Server. Bei dieser Schwachstellenart werden Benutzereingaben in Template-Ausdruecke eingebettet und als Code ausgewertet, anstatt als reine Daten behandelt zu werden. Die Problematik faellt in den Bereich von CWE-94 (Improper Control of Generation of Code, Code Injection).
Bei Server-Side Template Injection (SSTI) nutzt der Angreifer die Template-Engine des Servers aus, um boeswilligen Code einzuschleusen. Im Fall von Rejetto HFS wird die Template-Engine fuer die dynamische Generierung von Webseiten verwendet, und fehlende Eingabevalidierung ermoeglicht die Einschleusung von Systembefehlen ueber HTTP-Anfragen.
Weitere Informationen: CWE-94 -- Improper Control of Generation of Code
Auswirkungsanalyse
Die Auswirkungen von CVE-2024-23692 sind verheerend, da Rejetto HFS haeufig von Einzelpersonen und kleinen Unternehmen als schneller Dateifreigabe-Server eingesetzt wird, oft ohne umfassende Sicherheitsmassnahmen. Der CVSS-Vektor CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H beschreibt die maximale Bedrohungsstufe. Vertraulichkeit (Hoch): Durch die Befehlsausfuehrung auf Systemebene erhaelt ein Angreifer Zugriff auf alle Dateien des Host-Systems, einschliesslich der ueber HFS freigegebenen Dateien, Betriebssystem-Konfigurationen und Benutzerdaten. Integritaet (Hoch): Beliebige Befehle koennen ausgefuehrt werden, was die Installation von Malware, die Aenderung von Systemkonfigurationen und die Einrichtung von Backdoors ermoeglicht. Verfuegbarkeit (Hoch): Das gesamte System kann verschluesselt, heruntergefahren oder als Teil eines Botnets missbraucht werden. Der EPSS-Score von 94,30 % (99,9. Perzentil) und die Verfuegbarkeit mehrerer oeffentlicher Exploits machen CVE-2024-23692 besonders gefaehrlich. Da HFS 2.3m nicht mehr unterstuetzt wird, gibt es keinen offiziellen Patch vom Hersteller fuer die betroffene Version.
Exploit-Reifegrad
CVE-2024-23692 weist eine ausserordentlich hohe Exploit-Reife mit zahlreichen oeffentlich verfuegbaren Exploits auf. Die CISA hat die aktive Ausnutzung bestaetigt und die Schwachstelle mit einer Behebungsfrist bis zum 2024-07-30 in den KEV-Katalog aufgenommen. Der EPSS-Score von 94,30 % (99,9. Perzentil) gehoert zu den hoechsten beobachteten Werten. Der Ransomware-Status ist als Unknown eingestuft. Ein vollstaendiges Metasploit-Modul ermoeglicht die automatisierte Ausnutzung der Schwachstelle. Eine detaillierte technische Analyse beschreibt den Exploit-Mechanismus im Detail. VulnCheck hat ein unabhaengiges Advisory mit zusaetzlichen technischen Details veroeffentlicht. Darueber hinaus existieren mehrere Exploit-Analysen bei Vicarius, die sowohl die Erkennung als auch die Mitigation behandeln. Die Fuelle an oeffentlichen Exploits macht die Ausnutzung auch fuer weniger versierte Angreifer trivial.
Behebung
-
Rejetto HFS 2.3m sofort ausser Betrieb nehmen: Da HFS 2.3m zum Zeitpunkt der Schwachstelle nicht mehr unterstuetzt wurde und kein offizieller Patch verfuegbar ist, sollte die Software umgehend deaktiviert werden. Entfernen Sie alle oeffentlich erreichbaren HFS-Instanzen.
-
Auf sichere Alternative migrieren: Wenn weiterhin ein Dateifreigabe-Server benoetigt wird, migrieren Sie auf eine aktiv gewartete Alternative. Rejetto HFS 3.x (sofern verfuegbar und gepacht) oder etablierte Alternativen wie Nextcloud, ownCloud oder einen dedizierten SFTP-Server bieten bessere Sicherheitsgarantien.
-
Netzwerkzugang sofort sperren: Falls eine sofortige Ausserdienststellung nicht moeglich ist, isolieren Sie den HFS-Server vollstaendig vom Internet. Blockieren Sie alle eingehenden Verbindungen auf den HFS-Port ueber die Firewall.
-
Forensische Untersuchung durchfuehren: Wenn der HFS-Server aus dem Internet erreichbar war, gehen Sie von einer Kompromittierung aus. Ueberpruefen Sie das System auf installierte Malware, Backdoors und unautorisierte Prozesse. Pruefen Sie, ob freigegebene Dateien exfiltriert oder manipuliert wurden.
-
Betroffene Systeme bereinigen: Da die Schwachstelle Systembefehlsausfuehrung ermoeglicht, reicht das Entfernen von HFS moeglicherweise nicht aus. Erwaegen Sie eine vollstaendige Neuinstallation des Betriebssystems, wenn der Server kompromittiert wurde. Aendern Sie alle Zugangsdaten, die auf dem System gespeichert waren.
Technische Details
CVE-2024-23692 betrifft Rejetto HTTP File Server bis einschliesslich Version 2.3m (einige Quellen nennen bis Version 2.4). Der CVSS-Vektor CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H beschreibt die maximale Bedrohungsstufe fuer Schwachstellen ohne Scope-Aenderung. Angriffsvektor (Netzwerk): Die Schwachstelle ist ueber das Netzwerk erreichbar, ueber den HTTP-Port des HFS-Servers. Angriffskomplexitaet (Niedrig): Die Ausnutzung erfordert lediglich das Senden einer speziell praeparierten HTTP-Anfrage. Berechtigungen (Keine): Keinerlei Authentifizierung erforderlich. Benutzerinteraktion (Keine): Der Angriff kann vollstaendig automatisiert werden. Der Angriffsmechanismus basiert auf einer Server-Side Template Injection (SSTI) in der Template-Engine von Rejetto HFS. Der Server verwendet eine eigene Template-Sprache fuer die dynamische Generierung von HTML-Seiten. Ein Angreifer kann durch speziell praeparierte HTTP-Anfragen Template-Ausdruecke einschleusen, die von der Template-Engine ausgewertet werden. Da die Template-Engine den Zugriff auf Systemfunktionen ermoeglicht, fuehrt dies zur Ausfuehrung von beliebigen Betriebssystembefehlen im Kontext des HFS-Prozesses.
Häufig gestellte Fragen
Gibt es einen offiziellen Patch fuer CVE-2024-23692?
Nein, Rejetto HFS Version 2.3m war zum Zeitpunkt der CVE-Zuweisung bereits nicht mehr unterstuetzt (End of Life). Es gibt keinen offiziellen Sicherheitspatch fuer die betroffene Version. Die einzige sichere Massnahme ist die Migration auf eine aktiv gewartete Alternative oder die vollstaendige Ausserdienststellung des HFS-Servers.
Warum ist die Schwachstelle trotz End-of-Life-Status so gefaehrlich?
Rejetto HFS ist aufgrund seiner Einfachheit und des minimalen Installationsaufwands weit verbreitet, insbesondere bei Einzelpersonen und kleinen Unternehmen. Viele Installationen werden selten aktualisiert und sind haeufig direkt aus dem Internet erreichbar. Die Kombination aus fehlenden Patches und oeffentlich verfuegbaren Exploits macht diese Systeme zu leichten Zielen.
Existieren Metasploit-Module fuer diese Schwachstelle?
Ja, ein vollstaendiges Metasploit-Modul ist verfuegbar und ermoeglicht die automatisierte Ausnutzung der Schwachstelle. Dies senkt die Einstiegshuerde fuer Angreifer erheblich und bedeutet, dass selbst wenig versierte Angreifer verwundbare HFS-Instanzen kompromittieren koennen.
Wird CVE-2024-23692 fuer Ransomware-Angriffe genutzt?
Der Ransomware-Status ist als Unknown eingestuft. Die Faehigkeit zur unauthentifizierten Remote Command Execution macht die Schwachstelle jedoch ideal fuer Ransomware-Kampagnen. Angreifer koennen ueber die Schwachstelle direkt Ransomware auf dem betroffenen System installieren und ausfuehren.
Hilfe beim Schwachstellenmanagement?
Unsere Sicherheitsexperten helfen Ihnen bei der Priorisierung und Behebung von Schwachstellen.