CVE-2024-38094
Microsoft SharePoint Deserialization Vulnerability
Beschreibung
CVE-2024-38094 ist eine schwerwiegende Remote Code Execution (RCE) Schwachstelle in Microsoft SharePoint Server. Betroffen sind SharePoint Server 2016, 2019 und die Subscription Edition. Ein authentifizierter Angreifer mit Site-Owner-Berechtigungen kann beliebigen Code auf dem Server ausführen. Mit einem CVSS-Score von 7.2 (Hoch), einem EPSS-Wert von 64,8 % (98,4. Perzentil) und einer bestätigten Nutzung in Ransomware-Angriffen stellt diese Schwachstelle ein erhebliches Risiko für Unternehmen dar, die SharePoint einsetzen.
KEV-Informationen
CVSS-Score
CVSS:3.1/AV:N/AC:L/PR:H/UI:N/S:U/C:H/I:H/A:HIm Rechner öffnenBetroffene Produkte
| Hersteller | Produkt | Version |
|---|---|---|
| microsoft | sharepoint server | -; 2016; 2019 |
Referenzen
- https://msrc.microsoft.com/update-guide/vulnerability/CVE-2024-38094(Patch, Vendor Advisory)
- https://www.cisa.gov/known-exploited-vulnerabilities-catalog?field_cve=CVE-2024-38094(US Government Resource)
Schwachstellentyp
Remote Code Execution in SharePoint
Die Schwachstelle ermöglicht die Ausführung von beliebigem Code auf dem SharePoint-Server. Der genaue Schwachstellentyp wurde von Microsoft nicht im Detail offengelegt, jedoch handelt es sich um eine serverseitige Code-Execution-Schwachstelle, die durch authentifizierte Benutzer mit erhöhten Berechtigungen ausgelöst werden kann. Diese Art von Schwachstellen fällt typischerweise unter CWE-94: Improper Control of Generation of Code oder verwandte Klassen der unsicheren Eingabeverarbeitung.
Auswirkungsanalyse
Die Auswirkungen von CVE-2024-38094 sind erheblich, obwohl die Ausnutzung administrative Berechtigungen erfordert. Vertraulichkeit: Ein Angreifer mit Site-Owner-Rechten kann nach erfolgreicher Code-Ausführung auf alle auf dem SharePoint-Server gespeicherten Daten zugreifen, einschließlich vertraulicher Unternehmensdokumente, Datenbankinhalte und Konfigurationsinformationen. Integrität: Die Remote Code Execution ermöglicht das Manipulieren von Dokumenten, das Einschleusen von Schadsoftware und das Erstellen von Hintertüren im System. Verfügbarkeit: Der Server kann durch den Angriff destabilisiert oder vollständig außer Betrieb gesetzt werden. Der EPSS-Score von 64,8 % im 98,4. Perzentil zeigt eine hohe Ausnutzungswahrscheinlichkeit. Besonders besorgniserregend ist die bestätigte Nutzung in Ransomware-Kampagnen, was bedeutet, dass kompromittierte SharePoint-Server als Einstiegspunkt für die Verschlüsselung ganzer Unternehmensnetzwerke dienen können.
Exploit-Reifegrad
CVE-2024-38094 wird aktiv in freier Wildbahn ausgenutzt und wurde in den CISA Known Exploited Vulnerabilities (KEV) Katalog aufgenommen, mit einer Behebungsfrist bis zum 12. November 2024. Der EPSS-Score beträgt 64,8 % im 98,4. Perzentil. Besonders kritisch ist die bestätigte Verbindung zu Ransomware-Angriffen -- die Schwachstelle wird nachweislich als initialer Angriffsvektor in Ransomware-Kampagnen eingesetzt. Microsoft hat Patches über das Security Update Guide bereitgestellt. Die Anforderung von Site-Owner-Berechtigungen reduziert die Angriffsfläche zwar etwas, jedoch verfügen in vielen Organisationen zahlreiche Benutzer über diese Berechtigungsstufe, und kompromittierte Konten mit solchen Rechten sind ein gängiger Angriffsweg.
Behebung
- Microsoft-Sicherheitsupdate installieren: Wenden Sie umgehend die von Microsoft bereitgestellten Patches an, die über das Security Update Guide verfügbar sind. Betroffene Versionen sind SharePoint Server 2016, 2019 und Subscription Edition.
- SharePoint-Berechtigungen überprüfen: Reduzieren Sie die Anzahl der Benutzer mit Site-Owner- und Site-Collection-Administrator-Rechten auf das notwendige Minimum. Implementieren Sie das Prinzip der geringsten Berechtigung.
- Kompromittierungsindikatoren prüfen: Untersuchen Sie SharePoint-Logs und Windows-Ereignisprotokolle auf verdächtige Aktivitäten, insbesondere ungewöhnliche Code-Ausführungen oder Prozessstarts durch den SharePoint-Dienstkontext.
- Netzwerksegmentierung verstärken: Isolieren Sie SharePoint-Server von kritischen Netzwerksegmenten und beschränken Sie ausgehende Netzwerkverbindungen, um die Auswirkungen einer potenziellen Kompromittierung zu begrenzen.
- Endpoint Detection aktivieren: Stellen Sie sicher, dass auf SharePoint-Servern aktuelle Endpoint-Detection-and-Response-Lösungen (EDR) installiert sind, die ungewöhnliche Prozessaktivitäten erkennen können.
Technische Details
Der CVSS-Vektor CVSS:3.1/AV:N/AC:L/PR:H/UI:N/S:U/C:H/I:H/A:H ergibt einen Score von 7.2 (Hoch). Angriffsvektor (AV:N): Die Schwachstelle ist über das Netzwerk ausnutzbar. Angriffskomplexität (AC:L): Die Ausnutzung erfordert keine besonderen Voraussetzungen. Erforderliche Berechtigungen (PR:H): Es sind hohe Berechtigungen (Site-Owner-Level) erforderlich, was die Ausnutzbarkeit einschränkt. Benutzerinteraktion (UI:N): Keine Benutzerinteraktion notwendig. Scope (S:U): Die Auswirkungen bleiben innerhalb des Sicherheitskontexts der betroffenen Komponente. Auswirkungen: Vertraulichkeit, Integrität und Verfügbarkeit sind jeweils maximal betroffen (C:H/I:H/A:H). Der Angriffsmechanismus nutzt eine Schwachstelle in der Verarbeitung von Anfragen durch SharePoint Server aus. Ein authentifizierter Benutzer mit Site-Owner-Berechtigungen kann speziell gestaltete Anfragen senden, die zur Ausführung von beliebigem Code im Kontext des SharePoint-Serverprozesses führen.
Häufig gestellte Fragen
Was ist CVE-2024-38094?
CVE-2024-38094 ist eine Remote Code Execution Schwachstelle in Microsoft SharePoint Server, die es authentifizierten Angreifern mit Site-Owner-Berechtigungen ermöglicht, beliebigen Code auf dem Server auszuführen. Der CVSS-Score beträgt 7.2 (Hoch).
Welche SharePoint-Versionen sind betroffen?
Betroffen sind Microsoft SharePoint Server 2016, SharePoint Server 2019 und die SharePoint Server Subscription Edition. Microsoft hat Sicherheitsupdates für alle betroffenen Versionen bereitgestellt.
Wird CVE-2024-38094 in Ransomware-Angriffen verwendet?
Ja, die Schwachstelle wird nachweislich in Ransomware-Kampagnen eingesetzt. Sie wurde in den CISA KEV-Katalog aufgenommen und die Verbindung zu Ransomware ist von CISA als "Known" bestätigt worden.
Reichen Site-Owner-Rechte für die Ausnutzung aus?
Ja, ein Angreifer benötigt Site-Owner-Berechtigungen in SharePoint. Obwohl dies die Angriffsfläche einschränkt, haben in vielen Organisationen zahlreiche Benutzer diese Berechtigungsstufe. Kompromittierte Konten mit solchen Rechten sind ein häufiger Angriffsweg.
Hilfe beim Schwachstellenmanagement?
Unsere Sicherheitsexperten helfen Ihnen bei der Priorisierung und Behebung von Schwachstellen.