CVE-2024-5217
ServiceNow Incomplete List of Disallowed Inputs Vulnerability
Beschreibung
CVE-2024-5217 ist eine kritische Input-Validation-Schwachstelle in der ServiceNow Now Platform, die die Releases Washington DC, Vancouver und Utah betrifft. Die Schwachstelle ermoeglicht es einem unauthentifizierten Benutzer, Remote Code Execution innerhalb des Kontexts der Now Platform durchzufuehren, und wird mit einem CVSS-Score von 9.8 (CRITICAL) bewertet.
Die CISA hat CVE-2024-5217 in den KEV-Katalog aufgenommen, mit einer Behebungsfrist bis zum 2024-08-19. Der EPSS-Score von 94,11 % (99,9. Perzentil) signalisiert eine nahezu sichere aktive Ausnutzung. Da ServiceNow in zahlreichen Unternehmen als zentrales IT-Service-Management-System eingesetzt wird, stellt diese Schwachstelle ein erhebliches Risiko fuer die Unternehmens-IT dar.
KEV-Informationen
CVSS-Score
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:HIm Rechner öffnenBetroffene Produkte
| Hersteller | Produkt | Version |
|---|---|---|
| servicenow | servicenow | utah; vancouver; washington_dc |
Mehrere CVSS-Bewertungen
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
Referenzen
- https://support.servicenow.com/kb?id=kb_article_view&sysparm_article=KB1644293(Permissions Required)
- https://support.servicenow.com/kb?id=kb_article_view&sysparm_article=KB1648313(Vendor Advisory)
- https://www.darkreading.com/cloud-security/patchnow-servicenow-critical-rce-bugs-active-exploit(Press/Media Coverage)
- https://www.cisa.gov/known-exploited-vulnerabilities-catalog?field_cve=CVE-2024-5217(US Government Resource)
Schwachstellentyp
Input Validation Vulnerability
CVE-2024-5217 basiert auf einer fehlerhaften Eingabevalidierung (Input Validation) in der ServiceNow Now Platform. Bei dieser Schwachstellenart werden Benutzereingaben nicht ausreichend geprueft, bevor sie verarbeitet werden, wodurch ein Angreifer speziell praeparierte Eingaben einschleusen kann, die zu unbeabsichtigter Codeausfuehrung fuehren. Diese Problematik faellt in den Bereich von CWE-20 (Improper Input Validation).
In Kombination mit der Netzwerkerreichbarkeit und dem Fehlen jeglicher Authentifizierungsanforderung wird die fehlerhafte Eingabevalidierung zu einem direkten Einfallstor fuer Remote Code Execution auf einer der am weitesten verbreiteten Enterprise-Plattformen.
Weitere Informationen: CWE-20 -- Improper Input Validation
Auswirkungsanalyse
Die Auswirkungen von CVE-2024-5217 sind gravierend, da ServiceNow als zentrales IT-Service-Management-System in tausenden Unternehmen sensible Geschaeftsprozesse, Incident-Management und Asset-Daten verwaltet. Der CVSS-Vektor CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H beschreibt die maximale Bedrohungsstufe mit Netzwerkzugang ohne jegliche Authentifizierung. Vertraulichkeit (Hoch): Ein Angreifer kann durch Remote Code Execution auf saemtliche in ServiceNow gespeicherten Daten zugreifen, einschliesslich IT-Assets, Incident-Records, Benutzerinformationen, Passwoerter und vertraulicher Geschaeftsdokumente. Integritaet (Hoch): Beliebige Daten koennen manipuliert, Workflows veraendert und boeswillige Konfigurationen eingefuegt werden. Verfuegbarkeit (Hoch): Die gesamte ServiceNow-Instanz kann ausser Betrieb gesetzt oder fuer Ransomware-Angriffe missbraucht werden. Der EPSS-Score von 94,11 % (99,9. Perzentil) und die Aufnahme in den KEV-Katalog unterstreichen die kritische Bedrohungslage. Fuer Unternehmen, die ServiceNow als Single Point of Truth fuer ihre IT-Prozesse nutzen, kann eine Kompromittierung weitreichende Folgen fuer den gesamten Geschaeftsbetrieb haben.
Exploit-Reifegrad
CVE-2024-5217 weist eine sehr hohe Exploit-Reife auf. Die CISA hat die aktive Ausnutzung bestaetigt und die Schwachstelle mit einer Behebungsfrist bis zum 2024-08-19 in den KEV-Katalog aufgenommen. Der EPSS-Score von 94,11 % (99,9. Perzentil) gehoert zu den hoechsten beobachteten Werten und deutet auf weit verbreitete Exploitaktivitaet hin. Der Ransomware-Status ist als Unknown eingestuft. Dark Reading berichtete detailliert ueber die aktive Ausnutzung kritischer ServiceNow-Schwachstellen und empfahl das sofortige Patchen. Das ServiceNow Knowledge Base Article KB1648313 stellt offizielle Informationen zu den verfuegbaren Patches bereit. In Kombination mit CVE-2024-4879 bildet CVE-2024-5217 eine erweiterte Angriffsoberflaeche, die von Bedrohungsakteuren aktiv ausgenutzt wird.
Behebung
-
ServiceNow-Patches umgehend einspielen: Installieren Sie die von ServiceNow bereitgestellten Sicherheitspatches fuer die betroffenen Releases (Utah, Vancouver, Washington DC). Konsultieren Sie den ServiceNow KB-Artikel KB1648313 fuer die spezifischen Patch-Versionen und Hot Fixes.
-
Hosted und Self-Hosted unterscheiden: Wenn Sie eine von ServiceNow gehostete Instanz nutzen, wurde der Patch moeglicherweise bereits automatisch eingespielt. Ueberpruefen Sie den Patch-Status ueber die ServiceNow-Administration. Self-Hosted-Kunden muessen die Updates manuell installieren.
-
Zugriffsbeschraenkungen implementieren: Bis zum Patchen sollten Sie den Netzwerkzugang zur ServiceNow-Instanz auf vertrauenswuerdige IP-Bereiche einschraenken. Nutzen Sie Web Application Firewalls (WAF), um verdaechtige Anfragen zu blockieren.
-
Audit-Logs ueberpruefen: Analysieren Sie die Systemprotokolle auf Anzeichen einer moeglichen Kompromittierung. Suchen Sie nach ungewoehnlichen Code-Ausfuehrungen, verdaechtigen API-Aufrufen und unautorisierten Datenzugriffen seit Bekanntwerden der Schwachstelle.
-
Incident-Response-Plan aktivieren: Wenn Anzeichen einer Kompromittierung gefunden werden, aktivieren Sie Ihren Incident-Response-Plan. Dokumentieren Sie alle Befunde und informieren Sie relevante Stakeholder ueber moeglicherweise betroffene Daten und Prozesse.
Technische Details
CVE-2024-5217 betrifft die ServiceNow Now Platform in den Releases Washington DC, Vancouver und Utah. Der CVSS-Vektor CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H erreicht den Hoechstwert von 9.8 und beschreibt eine aus der Ferne ausnutzbare Schwachstelle ohne jegliche Zugangsbeschraenkung. Angriffsvektor (Netzwerk): Die Schwachstelle ist ueber das Netzwerk erreichbar, typischerweise ueber die Web-Oberflaeche der ServiceNow-Instanz. Angriffskomplexitaet (Niedrig): Keine speziellen Bedingungen oder Voraussetzungen fuer die Ausnutzung. Berechtigungen (Keine): Der Angriff kann vollstaendig unauthentifiziert durchgefuehrt werden. Benutzerinteraktion (Keine): Kein Zutun eines Benutzers erforderlich. Der Angriffsmechanismus basiert auf einer fehlerhaften Eingabevalidierung, die es einem Angreifer ermoeglicht, speziell praeparierte Anfragen an die Now Platform zu senden. Diese Anfragen umgehen die Validierungslogik und fuehren zu Remote Code Execution im Kontext der Plattform. Da ServiceNow-Instanzen haeufig ueber das Internet erreichbar sind und umfangreiche Integrationen in Unternehmensumgebungen besitzen, stellt die Schwachstelle ein bevorzugtes Ziel fuer Angreifer dar.
Häufig gestellte Fragen
Sind gehostete ServiceNow-Instanzen ebenfalls betroffen?
Ja, gehostete Instanzen waren ebenfalls betroffen. ServiceNow hat jedoch ein automatisches Update fuer gehostete Instanzen ausgerollt. Ueberpruefen Sie dennoch den Patch-Status Ihrer Instanz ueber die ServiceNow-Administration. Self-Hosted-Kunden muessen die Patches manuell einspielen.
Wie haengen CVE-2024-5217 und CVE-2024-4879 zusammen?
Beide Schwachstellen betreffen die ServiceNow Now Platform und wurden im selben Zeitraum veroeffentlicht. Beide ermoeglicht unauthentifizierte Remote Code Execution durch fehlerhafte Eingabevalidierung. Angreifer koennen beide Schwachstellen kombinieren, um die Angriffsoberflaeche zu vergroessern. Es ist daher zwingend erforderlich, beide Schwachstellen gleichzeitig zu patchen.
Wird CVE-2024-5217 fuer Ransomware-Angriffe genutzt?
Der Ransomware-Status ist derzeit als Unknown eingestuft. Angesichts der aktiven Ausnutzung und der Moeglichkeit zur Remote Code Execution auf Enterprise-Systemen mit umfangreichen Datenbestaenden ist die Nutzung in Ransomware-Szenarien wahrscheinlich. Unternehmen sollten von einem hohen Risiko ausgehen und sofort patchen.
Welche Daten koennten bei einer Kompromittierung betroffen sein?
Bei einer erfolgreichen Ausnutzung koennte ein Angreifer auf saemtliche in der ServiceNow-Instanz gespeicherten Daten zugreifen. Dies umfasst IT-Asset-Informationen, Incident-Records, Change-Requests, Benutzerkonten, CMDB-Daten und potenziell auch integrierte Drittanbieter-Systeme.
Hilfe beim Schwachstellenmanagement?
Unsere Sicherheitsexperten helfen Ihnen bei der Priorisierung und Behebung von Schwachstellen.