Zunehmende Angriffe auf Fernzugriffstechnologien Schwachstelle VPN

Die Nutzung traditioneller Fernzugriffstechnologien war im vergangenen Jahr immer wieder Thema im Kontext der Cybersicherheit. Wie konnten VPNs zu einer solchen Schwachstelle werden?

Im Jahr 2020 mussten viele Unternehmen den Fernzugriff schnellstmöglich einrichten, um den Geschäftsbetrieb am Laufen zu halten. Sie standen vor der schwierigen Entscheidung, die Produktivität vor die Sicherheit zu stellen. In der Folge wurden oft neue Technologien mit unsicheren Standardeinstellungen oder ohne einen soliden Patchprozess eingeführt. Die negativen Auswirkungen einer bereits veralteten Technologie vervielfachten sich. Entsprechend erhöhte sich die Wahrscheinlichkeit von Konfigurationsfehlern und die Zusammenstellung eines erweiterten Technologiebestands ohne sorgfältige Berücksichtigung der laufenden Patch- und Wartungsanforderungen.

Leider endete dieser Trend nicht mit dem Ende der Pandemie. Nachdem die Bedrohungsakteure das Potenzial dieses neuen Paradigmas erkannt hatten, nutzten sie weiterhin routinemäßig Schwachstellen und zu schwache Standardsicherheitseinstellungen in älteren Fernzugriffstechnologien, insbesondere VPN-Konzentratoren. Infolgedessen kam es im Jahr 2024 zu einer beispiellosen Zahl bösartiger Kampagnen, bei denen Softwarefehler in genau den Geräten ausgenutzt wurden, die eigentlich einen sicheren Zugriff auf interne Ressourcen ermöglichen sollten. Für Unternehmen ist es von entscheidender Bedeutung, diese Angriffe zu verstehen und zu wissen, wie sie sich gegen die Risiken offener Fernzugriffstechnologien schützen können.

Die größten Exploits von Sicherheitslücken im Jahr 2024

10. Januar
Im Dezember 2023 begannen staatlich geförderte Bedrohungsakteure, die Schwachstellen CVE-2023-46805 und CVE-2024-21887 zur Umgehung der Authentifizierung und zur Befehlsinjektion auszunutzen, die auf Ivanti Connect Secure und Policy Secure abzielten.

Ivanti hat die Schwachstellen erstmals am 10. Januar 2024 offengelegt. Diese Ausnutzung war so extrem, dass die US-amerikanische Cybersecurity & Infrastructure Security Agency (CISA) als Reaktion darauf eine Notfallanordnung erlassen musste. Alle Behörden mussten die vom Anbieter veröffentlichten Gegenmaßnahmen unverzüglich umsetzen, und ironischerweise gab die CISA später bekannt, dass auch sie betroffen war.

16. Januar
Citrix forderte seine Kunden dazu auf, die online exponierten Netscaler ADC- und Netscaler Gateway-Geräte umgehend gegen CVE-2023-6548 und CVE-2023-6549 zu patchen, eine Code-Injection- bzw. eine Pufferüberlauf-Sicherheitslücke, die von Bedrohungsakteuren aktiv ausgenutzt werden.

29. Januar
Es wurde festgestellt, dass die Akira-Ransomware-Gruppe CVE-2020-3259 ausnutzt, eine alte Sicherheitslücke bei der Offenlegung von Informationen, die auf Cisco ASA- und FTD-Geräte abzielt. Dieser Vorfall ist besonders bedeutsam, da diese Sicherheitslücke im Mai 2020 gepatcht wurde. Der groß angelegte Missbrauch durch die Akira-Ransomware-Gruppe wurde jedoch erst fast vier Jahre später entdeckt. Dies deutet darauf hin, dass viele Organisationen die vom Anbieter empfohlenen Gegenmaßnahmen nicht umgesetzt hatten.

31. Januar
Drei Wochen nach der ersten Offenlegung hat Ivanti CVE-2024-21893 gepatcht, eine serverseitige Request-Forgery-Sicherheitslücke in seinen Produkten Connect Secure, Policy Secure und Neurons, die aktiv ausgenutzt wird.

7. Februar
Fortinet war ein weiterer Anbieter, der 2024 unter Druck stand. Alles begann im Februar, als bekannt wurde, dass die chinesische Cyber-Spionagegruppe Volt Typhoon 2023 in das niederländische Verteidigungsministerium eingedrungen war und eine neuartige Malware namens „Coathanger“ eingesetzt hatte. Sie nutzte CVE-2022-42475 aus, eine haufenbasierte Pufferüberlauf-Schwachstelle, die erstmals im Dezember 2022 ausgenutzt wurde und auf das SSL-VPN-Betriebssystem FortiOS abzielte. Schon bald wurde klar, dass die Kampagne weitaus umfangreicher war als bisher angenommen. Das Ergebnis war die Kompromittierung von mindestens 20.000 Systemen weltweit.

8. Februar
Nur einen Tag später gab derselbe Anbieter CVE-2024-21762 / FG-IR-24-015 bekannt, eine Out-of-Bounds-Write-Sicherheitslücke im SSL-VPN-Betriebssystem FortiOS, die „potenziell in freier Wildbahn“ von Bedrohungsakteuren ausgenutzt wird.

Am selben Tag warnte Ivanti vor CVE-2024-22024, einer neuen Sicherheitslücke zur Umgehung der Authentifizierung, die die Gateways Connect Secure, Policy Secure und ZTA betraf und bei der sofort Ausnutzungsversuche beobachtet wurden.

12. April
Palo Alto Networks warnte, dass Bedrohungsakteure CVE-2024-3400, eine kritische Befehlszeilen Schwachstelle, die auf das Betriebssystem PAN-OS abzielt, ausnutzten, um in gezielten Angriffen beliebigen Code auf den Firewalls des Anbieters auszuführen.

24. April
Cisco warnte, dass eine staatlich unterstützte Gruppe mit der Bezeichnung UAT4356 oder Storm-1849 die Zero-Day-Schwachstellen CVE-2024-20353 und CVE-2024-20359 in den Firewalls Adaptive Security Appliance (ASA) und Firepower Threat Defense (FTD) ausgenutzt habe. Diese Aktivität war Teil einer größeren Kampagne mit dem Namen ArcaneDoor, die seit November 2023 aktiv ist und sich gegen Regierungsnetzwerke weltweit richtet.

30. Mai
Im Mai wurde bekannt, dass Bedrohungsakteure CVE-2024-24919, eine Zero-Day-Sicherheitslücke mit hohem Schweregrad im Check Point Remote Access VPN, ausnutzten und Active Directory-Daten stahlen.

9. September
SonicWall warnte, dass ein kürzlich behobener Fehler bei der Zugriffskontrolle im SSLVPN SonicOS, der als CVE-2024-40766 bezeichnet wurde, „potenziell“ für Angriffe ausgenutzt werden könne. Das Unternehmen forderte Administratoren auf, so schnell wie möglich Patches anzuwenden. Einen Tag später bestätigten Sicherheitsforscher, dass die Schwachstelle für Ransomware-Angriffe ausgenutzt wurde.

10. September
Ivanti bestätigte die aktive Ausnutzung von CVE-2024-8190, einer schwerwiegenden Sicherheitslücke bei der Befehlseingabe in das Betriebssystem, die auf seine Cloud Services Appliance (CSA) abzielt.

19. September
Einige Tage später warnte Ivanti, dass Bedrohungsakteure CVE-2024-8963, eine Path-Traversal-Sicherheitslücke, die auf die Cloud Services Appliance (CSA) abzielt und mit CVE-2024-8190 verknüpft ist, für Angriffe auf „eine begrenzte Anzahl von Kunden“ ausnutzten.

9. Oktober
Es wurde festgestellt, dass drei neue Ivanti-Schwachstellen, CVE-2024-9379 (SQL-Injection), CVE-2024-9380 (OS Command Injection) und CVE-2024-9381 (Path Traversal), die auf dieselbe Cloud Services Appliance abzielen, aktiv ausgenutzt werden, einzeln verkettet mit CVE-2024-8963.

Am selben Tag fügte CISA CVE-2024-23113, eine Formatstring-Sicherheitslücke, die auf mehrere Fortinet-Produkte abzielt, zu seinem Katalog bekannter ausgenutzter Sicherheitslücken hinzu und forderte die Bundesbehörden auf, die Sicherheitslücke innerhalb von drei Wochen zu patchen. Wichtig zu beachten ist, dass diese Sicherheitslücke im Februar 2024 gepatcht wurde, die weit verbreitete Ausnutzung jedoch erst einige Monate später entdeckt wurde.

18. November
Palo Alto Networks hat Fixes für zwei Schwachstellen, CVE-2024-0012 und CVE-2024-9474, in seinen Firewalls der nächsten Generation veröffentlicht, bei denen im November 2024 immer mehr Angriffe entdeckt wurden. Dabei handelt es sich um eine Authentifizierungsumgehung und eine Befehlsinjektions-Schwachstelle.

2. Dezember
Die älteste im Jahr 2024 aktiv ausgenutzte Schwachstelle war CVE-2014-2120 , eine 10 Jahre alte Cross-Site-Scripting-Schwachstelle (XSS), die auf die Cisco Adaptive Security Appliance (ASA) abzielte.

Der Anbieter entdeckte im November 2024 Ausnutzungsversuche und empfahl Kunden dringend, auf eine korrigierte Softwareversion zu aktualisieren. Dies ist ein Beispiel dafür, wie Softwarefehler noch viele Jahre nach der ersten Entdeckung und Behebung ausgenutzt werden können.

Wie sich das Risiko offener Fernzugriffstechnologien minimieren lässt

Herkömmliche VPN-Technologien sind für moderne IT-Architekturen oft nicht mehr geeignet. Zero Trust Network Access (ZTNA) ist eine sicherere Alternative, die den Zugriff granularer steuert und keine dauerhaften Verbindungen erfordert.

Best Practices zur Reduzierung des Risikos:

• Regelmäßige Patches einspielen: Alle Fernzugriffsprodukte stets auf dem neuesten Stand halten.

• Zero Trust-Prinzip umsetzen: Zugriffskontrolle auf Basis von Identität und Kontext statt VPN-Tunnel.

• Multi-Faktor-Authentifizierung (MFA) nutzen: Reduziert das Risiko durch kompromittierte Zugangsdaten.

• Angriffsfläche minimieren: Direkten Zugriff auf Remote-Access-Konzentratoren vermeiden.

• Sicherheitsaudits durchführen: Regelmäßig Sicherheitsbewertungen der Infrastruktur durchführen.

Fazit: Mehr Cybersicherheit durch moderne Zugriffsstrategien

Die Lehren aus 2024 zeigen: Veraltete VPN-Technologien sind ein massives Sicherheitsrisiko. Unternehmen müssen auf Zero Trust Network Access setzen, um das Risiko zu minimieren.

Wir haben zu viele Fälle erlebt, in denen die Ausnutzung von Schwachstellen noch mehrere Monate oder sogar Jahre nach der ursprünglichen Offenlegung und Verfügbarkeit eines Sicherheitsupdates möglich war, weil die betroffenen Organisationen die Sicherheitspatches nicht rechtzeitig installiert hatten.

Es bleibt abzuwarten, ob Organisationen ihre Sicherheitsstrategie anpassen oder ob 2025 erneut ein Jahr voller Cyberangriffe auf VPNs und andere Fernzugriffstechnologien sein wird.

Über den Autor

Paolo Passeri ist Cyber Intelligence Principal bei Netskope und unterstützt Kunden auf ihrem Weg in die Cloud in puncto Sicherheit. Passeri verfügt über mehr als 20 Jahre Erfahrung in der Infosec-Branche und ist der Kopf hinter hackmageddon.com, einem Blog mit detaillierten Zeitleisten und Statistiken zu allen wichtigen Cyberangriffen seit 2011. Für die Infosec-Community ist er eine wichtige Quelle für Daten und Trends der Bedrohungslandschaft.

(ID:50366249)