Mobile-Menu

Risiko durch veraltete Kurz-URL-Formate Zero-Day-Schwachstelle in GNU Wget

Quelle: Pressemitteilung 2 min Lesedauer

Anbieter zum Thema

JFrog
PresseBox - unn | UNITED NEWS NETWORK GmbH
sysob IT-Distribution GmbH & Co. KG
FTAPI Software GmbH

Indem sie eine Sicherheitslücke in veralteten Kurz-URL-Formaten ausnutzen, können Cyberkriminelle Systeme angreifen, die mit dem Open Source Tool GNU Wget arbeiten.

Die Kurz-URL-Formate der Protokolle FTP und HTTP wurden aus Wget entfernt, da sie mithilfe der Schwachstelle CVE-2024-10524 ausnutzbar sind.(Bild: Piyaporn - stock.adobe.com)
Die Kurz-URL-Formate der Protokolle FTP und HTTP wurden aus Wget entfernt, da sie mithilfe der Schwachstelle CVE-2024-10524 ausnutzbar sind.
(Bild: Piyaporn - stock.adobe.com)

JFrog untersuchte jüngst die Sicherheitslücke CVE-2024-10524, die sich in GNU Wget versteckte, einem freien Kommandozeilenprogramm zur Dateiübertragungen über HTTP- und FTP-Protokolle. Die Schwachstelle mit einem CVSS von 6.5 betrifft die fehlerhafte Verarbeitung des „userinfo“-Segments von URLs, die die Kurzschriftformate von HTTP (Hypertext Transfer Protocol) und FTP (File Transfer Protocol) nutzen. Dadurch kann Wget Hostnamen falsch interpretieren, was Angreifern die Möglichkeit bietet, den Datenverkehr auf bösartige Domains umzuleiten. Dies schafft die Grundlage für komplexe SSRF-Angriffe (Server-Side Request Forgery), die den Cyberkriminellen unter anderem Phishing, den Diebstahl von Zugangsdaten oder die Exfiltration sensibler Daten erleichtern können.

„Nur“ CVSS 6.5

Wget ist weitverbreitet in Skripten, Automatisierungsprozessen und containerisierten Umgebungen, was die Auswirkungen der Sicherheitslücke massiv machen kann. Kritische Anwendungen wie Systemaktualisierungen, Paketverwaltung und Bereitstellungspipelines sind oft auf Wget angewiesen, was die Angriffsfläche vergrößert. Angreifer könnten automatisierte Systeme kapern, bösartige Nutzlasten einschleusen, gezielte Phishing-Kampagnen initiieren oder sensible Daten durch Umleitungen auf bösartige Server extrahieren.

Dennoch haben die Experten von JFrog CVE-2024-10524 nur einen mittleren Schweregrad zugewiesen. Im JFrog-Blog schreiben sie: „Diese Sicherheitslücke kann zu allen möglichen gefährlichen Angriffen führen. Wir haben uns jedoch entschieden, ihr einen mittleren CVSS zuzuweisen. Die Verwendung des HTTP-Kurzformats mit Benutzereingaben ist sehr ungewöhnlich, sodass eine Ausnutzung dieser CVE in realen Szenarien unwahrscheinlich ist.“

Patch entfernt Kurz-URL-Formate

Nachdem die Analysten von JFrog die Sicherheitslücke gemeldet. haben, wurde ein Patch veröffentlicht, der in Wget 1.25.0 enthalten ist. Dieses Sicherheitsupdate entfernt die HTTP- und das FTP-Short-Hand-Formate aus Wget. Innerhalb von URLs können sie potenziell ausgenutzt werden, da Akteure durch präparierte FTP- oder HTTP-URLs, die diese Kurzschreibweisen nutzen, unbefugten Zugriff auf Systeme erlangen oder schädliche Dateien einschleusen.

Statt wie zuvor „wget username:password@myserver“ aufzurufen, müssen Nutzer mit dem Sicherheitsupdate nun die vollständige URL-Syntax verwenden, zum Beispiel „wget http://username:password@myserver“. Beide Formate gelten als veraltet und wurden in den 1990er Jahren von NcFTP und Netscape eingeführt.

(ID:50245695)

Jetzt Newsletter abonnieren

Täglich die wichtigsten Infos zur IT-Sicherheit

Mit Klick auf „Newsletter abonnieren“ erkläre ich mich mit der Verarbeitung und Nutzung meiner Daten gemäß Einwilligungserklärung (bitte aufklappen für Details) einverstanden und akzeptiere die Nutzungsbedingungen. Weitere Informationen finde ich in unserer Datenschutzerklärung. Die Einwilligungserklärung bezieht sich u. a. auf die Zusendung von redaktionellen Newslettern per E-Mail und auf den Datenabgleich zu Marketingzwecken mit ausgewählten Werbepartnern (z. B. LinkedIn, Google, Meta).

Aufklappen für Details zu Ihrer Einwilligung

Weiterführende Inhalte