CVE-2024-7694
TeamT5 ThreatSonar Anti-Ransomware Unrestricted Upload of File with Dangerous Type Vulnerability
Beschreibung
CVE-2024-7694 ist eine Schwachstelle durch unrestricted File Upload in TeamT5 ThreatSonar Anti-Ransomware vor Version 1.1.0. Die Schwachstelle ermoeglicht es einem authentifizierten Administrator, beliebige Dateien auf den Server hochzuladen, was potenziell zur Remote Code Execution (RCE) fuehren kann. Mit einem CVSS-Score von 7.2 (HIGH) ist die Schwachstelle als schwerwiegend einzustufen, wobei die Voraussetzung eines administrativen Zugangs die Ausnutzung einschraenkt. Die CISA hat CVE-2024-7694 in ihren KEV-Katalog aufgenommen, was auf eine aktive Ausnutzung in realen Angriffen hindeutet. Die Behebungsfrist gemaess CISA-Richtlinie ist der 10. Maerz 2026. Der EPSS-Score von 4,55 % (90,11. Perzentil) liegt im oberen Bereich, was die erhoehte Ausnutzungswahrscheinlichkeit bestaetigt.
KEV-Informationen
CVSS-Score
CVSS:3.1/AV:N/AC:L/PR:H/UI:N/S:U/C:H/I:H/A:HIm Rechner öffnenBetroffene Produkte
| Hersteller | Produkt | Version |
|---|---|---|
| teamt5 | threatsonar anti-ransomware | < 3.5.0 |
Referenzen
- https://www.twcert.org.tw/en/cp-139-8000-e5a5c-2.html(Third Party Advisory)
- https://www.twcert.org.tw/tw/cp-132-7998-d76dd-1.html(Third Party Advisory)
- https://www.cisa.gov/known-exploited-vulnerabilities-catalog?field_cve=CVE-2024-7694(US Government Resource)
Schwachstellentyp
CWE-434: Unrestricted Upload of File with Dangerous Type
Die Schwachstelle wird als CWE-434 (Unrestricted Upload of File with Dangerous Type) klassifiziert. Bei dieser Schwachstellenklasse fehlt eine ausreichende Validierung hochgeladener Dateien. Die Anwendung prueft nicht oder nicht ausreichend den Dateityp, die Dateiendung oder den Dateiinhalt, sodass ein Angreifer potenziell gefaehrliche Dateien wie Webshells, ausfuehrbaren Code oder Skripte auf den Server hochladen kann. Wenn diese Dateien anschliessend vom Server ausgefuehrt oder interpretiert werden, erlangt der Angreifer die Moeglichkeit zur Remote Code Execution.
Auswirkungsanalyse
Auswirkungen auf alle Schutzziele: Bei erfolgreicher Ausnutzung sind alle drei Schutzziele betroffen. Vertraulichkeit (C:H) - Durch das Hochladen und Ausfuehren einer Webshell oder eines anderen Schadcodes kann der Angreifer auf saemtliche Daten zugreifen, die auf dem ThreatSonar-Server gespeichert sind. Dies umfasst Sicherheitskonfigurationen, Erkennungsregeln und moeglicherweise forensische Daten von ueberwachten Endpunkten. Integritaet (I:H) - Der Angreifer kann die Anti-Ransomware-Konfiguration manipulieren, Erkennungsregeln deaktivieren oder modifizieren und so den Schutz der ueberwachten Systeme untergraben. Verfuegbarkeit (A:H) - Das System kann vollstaendig ausser Betrieb gesetzt werden, was den Ransomware-Schutz fuer alle verbundenen Endpunkte aufhebt.
Eingeschraenkter Angriffsvektor: Die Schwachstelle erfordert hohe Privilegien (PR:H), da ein administrativer Zugang notwendig ist. Dies schraenkt den Kreis potenzieller Angreifer ein, bedeutet aber auch, dass ein kompromittierter Admin-Account oder ein boswilliger Insider die Schwachstelle ausnutzen kann.
Besondere Brisanz: Die Kompromittierung eines Anti-Ransomware-Systems ist besonders kritisch, da der Angreifer nicht nur Zugang zum System selbst erhaelt, sondern auch die Sicherheitskontrollen deaktivieren kann, die Ransomware-Angriffe verhindern sollen.
Exploit-Reifegrad
Die Exploit-Reife von CVE-2024-7694 ist als aktiv ausgenutzt einzustufen. Die Aufnahme in den CISA KEV-Katalog bestaetigt, dass die Schwachstelle in realen Angriffen verwendet wird. Der EPSS-Score von 4,55 % (90,11. Perzentil) zeigt, dass die Schwachstelle zu den am haeufigsten ausgenutzten 10 % aller bekannten Schwachstellen gehoert.
Angriffsszenarien: Obwohl administrative Privilegien erforderlich sind, gibt es mehrere realistische Ausnutzungsszenarien: kompromittierte Admin-Zugangsdaten durch Phishing, Credential Stuffing mit wiederverwendeten Passwoertern, Ausnutzung nach einer initialen Kompromittierung als Privilege-Escalation-Pfad oder durch einen boswilligen Insider. Weitere Details sind im TeamT5 Security Advisory TSA-2024-001 dokumentiert.
Ransomware-Verbindung: Der Ransomware-Status ist als Unknown klassifiziert. Die Ironie, dass ausgerechnet ein Anti-Ransomware-Produkt eine Schwachstelle aufweist, die zur Umgehung des Ransomware-Schutzes genutzt werden kann, macht diese Schwachstelle zu einem besonders attraktiven Ziel fuer Ransomware-Gruppen.
Behebung
Update auf Version 1.1.0 oder neuer: Aktualisieren Sie TeamT5 ThreatSonar Anti-Ransomware umgehend auf mindestens Version 1.1.0, in der die Schwachstelle behoben wurde. Detaillierte Update-Anweisungen finden Sie im TeamT5 Security Advisory TSA-2024-001. Die CISA-Frist fuer die Behebung ist der 10. Maerz 2026.
Administrative Zugaenge absichern: Implementieren Sie Multi-Faktor-Authentifizierung (MFA) fuer alle administrativen Zugaenge zum ThreatSonar-System. Ueberpruefen Sie die Liste der Admin-Konten und deaktivieren Sie nicht mehr benoetigte Zugaenge. Setzen Sie starke, einzigartige Passwoerter fuer alle verbleibenden Admin-Konten.
Netzwerkzugriff einschraenken: Beschraenken Sie den Zugriff auf die Administrationsoberflaeche von ThreatSonar auf ein dediziertes Management-Netzwerk. Verhindern Sie den Zugriff aus dem allgemeinen Unternehmensnetzwerk und insbesondere aus dem Internet.
Integritaetspruefung durchfuehren: Ueberpruefen Sie den ThreatSonar-Server auf bereits hochgeladene verdaechtige Dateien. Suchen Sie nach unbekannten Webshells, Skripten oder ausfuehrbaren Dateien in Upload-Verzeichnissen und temporaeren Ordnern. Validieren Sie die Integritaet der Anti-Ransomware-Konfiguration und -Regeln.
Technische Details
Die Schwachstelle befindet sich in der Datei-Upload-Funktionalitaet der ThreatSonar Anti-Ransomware-Administrationsoberflaeche. Die Anwendung validiert den Typ hochgeladener Dateien nicht ausreichend, sodass ein authentifizierter Administrator beliebige Dateitypen hochladen kann, einschliesslich ausfuehrbarer Dateien wie Webshells oder Skripte.
Angriffsablauf: Ein Angreifer mit gueltigem Admin-Zugang meldet sich an der ThreatSonar-Verwaltungsoberflaeche an und nutzt die Upload-Funktionalitaet, um eine schaedliche Datei (z.B. eine PHP-Webshell oder ein ausfuehrbares Skript) hochzuladen. Wenn der Server diese Datei in einem web-erreichbaren Verzeichnis speichert und sie nicht als gefaehrlich erkennt, kann der Angreifer sie anschliessend aufrufen und beliebigen Code im Kontext des Webservers ausfuehren.
CVSS-Vektor im Detail: CVSS:3.1/AV:N/AC:L/PR:H/UI:N/S:U/C:H/I:H/A:H - Der Angriff erfolgt netzwerkbasiert mit niedriger Komplexitaet, erfordert jedoch hohe Privilegien (Admin-Zugang). Keine Benutzerinteraktion ist erforderlich. Der Scope ist unveraendert (S:U), aber alle drei Schutzziele sind maximal betroffen.
Betroffene Versionen: Alle Versionen von TeamT5 ThreatSonar Anti-Ransomware vor Version 1.1.0 sind betroffen. Die Schwachstelle wurde im Rahmen des TeamT5 Security Advisory TSA-2024-001 veroeffentlicht und gepatcht.
Häufig gestellte Fragen
Ist mein System sicher, wenn nur vertrauenswuerdige Administratoren Zugang haben?
Nicht unbedingt. Auch wenn Ihre Administratoren vertrauenswuerdig sind, koennen deren Zugangsdaten durch Phishing, Malware oder Datenlecks kompromittiert werden. Zudem kann ein Angreifer, der bereits auf anderem Weg in Ihr Netzwerk eingedrungen ist, Admin-Zugangsdaten abfangen und die Schwachstelle als naechsten Angriffsschritt nutzen.
Warum ist eine Schwachstelle in einem Anti-Ransomware-Produkt besonders kritisch?
Ein Anti-Ransomware-Produkt ist Teil der Sicherheitsinfrastruktur und soll vor Angriffen schuetzen. Wird dieses Produkt selbst kompromittiert, kann der Angreifer den Schutz deaktivieren und anschliessend ungehindert Ransomware einsetzen. Dies ist vergleichbar mit der Kompromittierung einer Firewall oder eines Antivirus-Systems.
Welche Dateitypen koennen hochgeladen werden?
Die Schwachstelle ermoeglicht das Hochladen beliebiger Dateitypen, da keine ausreichende Validierung stattfindet. Dies schliesst ausfuehrbaren Code wie Webshells, Skripte und Binaerdateien ein. Nach dem Update auf Version 1.1.0 wird der Dateityp korrekt validiert und nur erlaubte Dateitypen werden akzeptiert.
Muss ich nach dem Update weitere Massnahmen ergreifen?
Ja, Sie sollten nach dem Update den Server auf bereits hochgeladene schaedliche Dateien ueberpruefen, Admin-Passwoerter zuruecksetzen und MFA aktivieren. Wenn Sie Anzeichen einer Kompromittierung finden, sollten Sie eine vollstaendige forensische Untersuchung durchfuehren und die Integritaet aller Anti-Ransomware-Konfigurationen validieren.
Hilfe beim Schwachstellenmanagement?
Unsere Sicherheitsexperten helfen Ihnen bei der Priorisierung und Behebung von Schwachstellen.