Angriffe auf ServiceNow durch Ausnutzen von Sicherheitslücken

Angreifer attackieren ServiceNow Kritische Sicherheitslücken in der Now Platform von ServiceNow

07.08.2024 Von Thomas Joos 2 min Lesedauer

Anbieter zum Thema

fsas-afc-horizontal-2-positive-rgb-nov24 (Fsas)

Sicherheitsforscher habe Angriffs-Kampagnen auf die Now Platform von ServiceNow identifiziert, die drei kritische Sicherheitslücken (CVE-2024-4879, CVE-2024-5217 und CVE-2024-5178) ausnutzen. Die Angriffe laufen global.

Cyberkriminelle greifen über drei Sicherheitslücken (zwei davon kritisch mit CVSSv4-Score von 9.3 und 9.2) die Now Platform von ServiceNow global an.(Bild: Sergey Nivens - stock.adobe.com) — Cyberkriminelle greifen über drei Sicherheitslücken (zwei davon kritisch mit CVSSv4-Score von 9.3 und 9.2) die Now Platform von ServiceNow global an.
(Bild: Sergey Nivens - stock.adobe.com)

ServiceNow informiert darüber, dass es Angriffe auf ihre Now Platform gibt. Es stehen bereits Updates zur Verfügung:

CVE-2024-4879

CVE-2024-5217

CVE-2024-5178

Das steckt hinter CVE-2024-4879, CVE-2024-5217 und CVE-2024-5178

ServiceNow, eine weit verbreitete Plattform für Geschäftstransformation, hat drei kritische Sicherheitslücken offengelegt, die schwerwiegende Folgen für Organisationen weltweit haben könnten. Die Schwachstellen CVE-2024-4879, CVE-2024-5217 und CVE-2024-5178, betreffen verschiedene Versionen der Now Platform, darunter die Releases Washington D.C., Vancouver und Utah.

Die schwerwiegendsten dieser Sicherheitslücken, CVE-2024-4879 und CVE-2024-5217, haben jeweils einen kritischen CVSSv4-Score von 9.3 und 9.2. Diese Schwachstellen ermöglichen es Angreifern, ohne Authentifizierung beliebigen Code innerhalb der Now Platform auszuführen. Die dritte Sicherheitslücke, CVE-2024-5178, mit einem CVSSv4-Score von 6.9, erlaubt es administrativen Benutzern, unbefugt auf sensible Dateien auf dem Webanwendungsserver zuzugreifen.

Angreifer nutzen bereits die Lücken aus

Laut Resecurity versuchen Bedrohungsakteure bereits die Lücken zu nutzen. Eine Schätzung auf Basis des Netzwerksuchdienstes FOFA ergab etwa 300.000 ServiceNow-Instanzen, die potenziell aus der Ferne überprüft werden könnten. Die meisten Instanzen befinden sich in den Vereinigten Staaten, Großbritannien, Indien und der Europäischen Union. Sobald die Informationen zu den Sicherheitslücken veröffentlicht wurden, begannen mehrere Bedrohungsakteure sofort mit Massenscans, um anfällige ServiceNow-Instanzen zu identifizieren. Resecurity überwachte mehrere Akteure, was es ermöglichte, genügend Kontext über deren Vorgehensweise zu sammeln.

Der Katalysator für die Ausnutzung war die öffentliche Veröffentlichung eines Proof-of-Concept (POC) zu Awareness-Zwecken. Eine der am aktivsten überprüften CVEs war CVE-2024-4879, die es einem nicht authentifizierten Benutzer ermöglicht, Code innerhalb der Now Platform auszuführen. Diese Schwachstelle nutzt drei Probleme, die zusammengefasst werden: Titelinjektion, Umgehung der Template-Injektionsminderung und Umgehung des Dateisystemfilters, um auf ServiceNow-Daten zuzugreifen.

Die zweite Phase der Ausnutzung umfasste das Injizieren einer Payload, um die Verfügbarkeit und den Inhalt der Datenbank zu überprüfen. Dies konnte manuell durchgeführt werden oder durch die Verwendung angepasster Vorlagen für beliebte Scanner zur Automatisierung, wie Nuclei, mit einer kürzlich hinzugefügten Vorlage für CVE-2024-5217 im Repository.

Wenn die Ausnutzung erfolgreich war, lieferte die anfällige Instanz Details über die Datenbank. Die letzte Phase umfasste das Extrahieren von Benutzerlisten und das Sammeln zugehöriger Metadaten von kompromittierten Instanzen.

(ID:50118658)

Jetzt Newsletter abonnieren

Täglich die wichtigsten Infos zur IT-Sicherheit

Geschäftliche E-Mail

Bitte geben Sie eine gültige E-Mailadresse ein.

Mit Klick auf „Newsletter abonnieren“ erkläre ich mich mit der Verarbeitung und Nutzung meiner Daten gemäß Einwilligungserklärung (bitte aufklappen für Details) einverstanden und akzeptiere die Nutzungsbedingungen. Weitere Informationen finde ich in unserer Datenschutzerklärung. Die Einwilligungserklärung bezieht sich u. a. auf die Zusendung von redaktionellen Newslettern per E-Mail und auf den Datenabgleich zu Marketingzwecken mit ausgewählten Werbepartnern (z. B. LinkedIn, Google, Meta).

Stand: 08.12.2025

Es ist für uns eine Selbstverständlichkeit, dass wir verantwortungsvoll mit Ihren personenbezogenen Daten umgehen. Sofern wir personenbezogene Daten von Ihnen erheben, verarbeiten wir diese unter Beachtung der geltenden Datenschutzvorschriften. Detaillierte Informationen finden Sie in unserer Datenschutzerklärung.

Einwilligung in die Verwendung von Daten zu Werbezwecken

Ich bin damit einverstanden, dass die Vogel IT-Medien GmbH, Max-Josef-Metzger-Straße 21, 86157 Augsburg, einschließlich aller mit ihr im Sinne der §§ 15 ff. AktG verbundenen Unternehmen (im weiteren: Vogel Communications Group) meine E-Mail-Adresse für die Zusendung von Newslettern und Werbung nutzt. Auflistungen der jeweils zugehörigen Unternehmen können hier abgerufen werden.

Der Newsletterinhalt erstreckt sich dabei auf Produkte und Dienstleistungen aller zuvor genannten Unternehmen, darunter beispielsweise Fachzeitschriften und Fachbücher, Veranstaltungen und Messen sowie veranstaltungsbezogene Produkte und Dienstleistungen, Print- und Digital-Mediaangebote und Services wie weitere (redaktionelle) Newsletter, Gewinnspiele, Lead-Kampagnen, Marktforschung im Online- und Offline-Bereich, fachspezifische Webportale und E-Learning-Angebote. Wenn auch meine persönliche Telefonnummer erhoben wurde, darf diese für die Unterbreitung von Angeboten der vorgenannten Produkte und Dienstleistungen der vorgenannten Unternehmen und Marktforschung genutzt werden.

Meine Einwilligung umfasst zudem die Verarbeitung meiner E-Mail-Adresse und Telefonnummer für den Datenabgleich zu Marketingzwecken mit ausgewählten Werbepartnern wie z.B. LinkedIN, Google und Meta. Hierfür darf die Vogel Communications Group die genannten Daten gehasht an Werbepartner übermitteln, die diese Daten dann nutzen, um feststellen zu können, ob ich ebenfalls Mitglied auf den besagten Werbepartnerportalen bin. Die Vogel Communications Group nutzt diese Funktion zu Zwecken des Retargeting (Upselling, Crossselling und Kundenbindung), der Generierung von sog. Lookalike Audiences zur Neukundengewinnung und als Ausschlussgrundlage für laufende Werbekampagnen. Weitere Informationen kann ich dem Abschnitt „Datenabgleich zu Marketingzwecken“ in der Datenschutzerklärung entnehmen.

Falls ich im Internet auf Portalen der Vogel Communications Group einschließlich deren mit ihr im Sinne der §§ 15 ff. AktG verbundenen Unternehmen geschützte Inhalte abrufe, muss ich mich mit weiteren Daten für den Zugang zu diesen Inhalten registrieren. Im Gegenzug für diesen gebührenlosen Zugang zu redaktionellen Inhalten dürfen meine Daten im Sinne dieser Einwilligung für die hier genannten Zwecke verwendet werden. Dies gilt nicht für den Datenabgleich zu Marketingzwecken.

Recht auf Widerruf

Mir ist bewusst, dass ich diese Einwilligung jederzeit für die Zukunft widerrufen kann. Durch meinen Widerruf wird die Rechtmäßigkeit der aufgrund meiner Einwilligung bis zum Widerruf erfolgten Verarbeitung nicht berührt. Um meinen Widerruf zu erklären, kann ich als eine Möglichkeit das unter https://contact.vogel.de abrufbare Kontaktformular nutzen. Sofern ich einzelne von mir abonnierte Newsletter nicht mehr erhalten möchte, kann ich darüber hinaus auch den am Ende eines Newsletters eingebundenen Abmeldelink anklicken. Weitere Informationen zu meinem Widerrufsrecht und dessen Ausübung sowie zu den Folgen meines Widerrufs finde ich in der Datenschutzerklärung.