Mobile-Menu

Einschleusen von Schadcode möglich Fehlerhafte Signaturprüfung bei Nuclei

Von Melanie Staudacher 2 min Lesedauer

Aufgrund eines Logikfehlers in der Implementierung der Signaturprüfung des Netzwerk-Scanners Nuclei, sind Cyberkriminelle in der Lage, Schad­code auszuführen. Wiz hat sich die Schwachstelle in dem Open Source Tool genauer angesehen.

Das beliebte Open-Source-Netzwerkanalyse-Tool Nuclei enthält eine Sicherheitslücke, die es es Cyberangreifern erlaubt, bösartigen Code auszuführen und Daten zu exfiltrieren.(Bild: Artur - stock.adobe.com)
Das beliebte Open-Source-Netzwerkanalyse-Tool Nuclei enthält eine Sicherheitslücke, die es es Cyberangreifern erlaubt, bösartigen Code auszuführen und Daten zu exfiltrieren.
(Bild: Artur - stock.adobe.com)

Eine fehlerhafte Signaturprüfung von Templates in der Lösung Nuclei, ermöglicht es Cyberangreifern, beliebigen Code einzuschleusen und auszuführen. Die Sicherheits­forschenden des Cloud-Security-Herstellers Wiz haben die Sicherheitslücke in dem beliebten Open-Source-Netzwerk-Scanners entdeckt. Die Schwachstelle wird unter der ID CVE-2024-43405 geführt und hat einen CVSS-Score von 7.4 womit ihr Schweregrad hoch ist. Betroffen von der Schwachstelle sind die Versionen ab 3.0.0 bis 3.3.2. Mit dieser Version hat Nuclei einen Patch für die Sicherheitslücke veröffentlicht. Mittlerweile ist die aktuellste Version Nuclei 3.3.8.

Codeschmuggel durch falsche Sicherheitsprüfung

Nuclei ist ein weit verbreitetes Open Source Tool, welches für automatisierte Sicherheitsprüfungen und Schwachstellenscans eingesetzt wird. Es basiert auf einer flexiblen Template-Architektur und wurde speziell für schnelle, präzise und skalierbare Überprüfungen entwickelt. Anwender können die Templates für unterschiedliche Protokolle wie HTTPS, DNS oder TCP nutzen, einschließlich eines Code-Protokoll, das externe Befehle auf dem Host-Betriebssystem ausführen kann.

Um die Authentizität und Integrität der Templates zu überprüfen, setzt Nuclei eine Signatur ein, die in der Zeile „#digest“ gespeichert ist. Wiz erläutert den Prozess der Signaturüberprüfung im Detail:

  • 1. Nuclei liest die Signatur mithilfe von regulären Ausdrücken, den sogenannten Regex, aus.
  • 2. Dann wird die Signaturzeile aus dem Template entfernt.
  • 3. Nun wird ein Hash-Wert des verbleibenden Inhalts berechnet.
  • 4. Zum Schluss vergleicht Nuclei diesen Hash mit der Signatur, um ihre Echtheit zu bestätigen.

Allerdings finden die Experten von Wiz drei Fehler in dieser Vorgehensweise:

  • Regex-Abhängigkeit: Zum einen bestehe das Risiko, dass beim Auffinden und Entfernen von #digest-Zeilen Unterschiede bei Zeilenumbrüchen – zum Beispiel „\n“ oder „\r“ – dazu führen könnten, dass Inhalte falsch interpretiert oder übersehen würden.
  • Mehrfachsignaturen: Außerdem würde Nuclei nur die erste #digest-Zeile prüfen. Weitere solcher Zeilen würden ignoriert, aber im Template bleiben. Dadurch könnten Cyberkriminelle hier bösartigen Code verstecken.
  • Parser-Inkonsistenzen: Laut Wiz nutzen die Signaturprüfung und die Ausführung der Templates veschiedene Parser – Regex und YAML (Yet Another Markup Language). Dies führe dazu, dass Inhalte die Prüfung umgehen könnten, aber dennoch ausgeführt werden würden.

Folglich könnte ein Cyberkrimineller zusätzliche #digest-Zeilen einfügen, die die Signaturprüfung ignoriert, vom YAML-Parser allerdings als ausführbarer Code behandelt werden. Somit könnte ein Angreifer sensible Daten auslesen und exfiltrieren.

(ID:50276767)

Jetzt Newsletter abonnieren

Täglich die wichtigsten Infos zur IT-Sicherheit

Mit Klick auf „Newsletter abonnieren“ erkläre ich mich mit der Verarbeitung und Nutzung meiner Daten gemäß Einwilligungserklärung (bitte aufklappen für Details) einverstanden und akzeptiere die Nutzungsbedingungen. Weitere Informationen finde ich in unserer Datenschutzerklärung. Die Einwilligungserklärung bezieht sich u. a. auf die Zusendung von redaktionellen Newslettern per E-Mail und auf den Datenabgleich zu Marketingzwecken mit ausgewählten Werbepartnern (z. B. LinkedIn, Google, Meta).

Aufklappen für Details zu Ihrer Einwilligung

Weiterführende Inhalte