SSL-VPNs als Einfallstor für Angreifer SSL-VPN-Schwachstellen: Achillesferse der IT-Sicherheit

Wie Experten von Tenable herausgefunden haben, zählen Sicherheitslücken in SSL-VPN-Produkten zu den am häufigsten ausgenutzten Schwachstellen. Wollen IT-Teams ihre Unternehmensnetzwerke schützen, müssen sie ihre SSL-VPN-Produkte vollständig aktualisieren und richtig konfigurieren.

Anfang des Jahres veröffentlichte das Tenable Security Response Team (SRT) seinen Report Threat Landscape Retrospective (TLR), der die wichtigsten Trends des Jahres 2020 untersucht. Einer dieser Trends waren die bei Angreifern beliebten Secure-Socket-Layer-Schwachstellen (SSL) in Virtual Private Networks (VPNs).

Der TLR-Report hob insbesondere die folgenden drei Common Vulnerabilities and Exposures (CVEs) in VPN-Produkten hervor. Sie zählen zu den am häufigsten ausgenutzten Schwachstellen von Advanced-Persistent-Threat-(APT)- und Ransomware-Gruppen.

• CVE-2019-19781, von der der Citrix Application Delivery Controller (ADC), Gateway und SD-WAN WANOP betroffen sind.

• CVE-2019-11510, wovon Pulse Connect Secure SSL VPN betroffen ist.

• CVE-2018-13379, wovon Fortinet Fortigate SSL VPN betroffen ist.

Obwohl alle drei Schwachstellen im Jahr 2019 bekannt gegeben und bis Januar 2020 gepatcht wurden, werden sie auch in der zweiten Jahreshälfte 2021 noch routinemäßig ausgenutzt, so die Cybersecurity-Experten von Tenable. Laut einem gemeinsamen Cybersecurity Advisory von vier internationalen Regierungsbehörden gehörten diese Schwachstellen zu den am häufigsten ausgenutzten im Jahr 2020. Tatsächlich wurde CVE-2019-19781 den US-Regierungsdaten zufolge, als die am häufigsten ausgenutzte Schwachstelle des Jahres 2020 bezeichnet.

Auf der Grundlage dieser Informationen hielt es Tenable für angebracht, im Jahr 2021 erneut zu untersuchen, wie Angreifer diese Schwachstellen in der Vergangenheit ausgenutzt haben, und neue Berichte über Angriffe zu berücksichtigen. Die Zusammenstellung dieser Informationen verdeutlicht die dringende Notwendigkeit, diese Schwachstellen in allen Unternehmen zu patchen, die hier noch hinterherhinken.

Um ein umfassenderes Bild zu vermitteln, untersuchten Forscher auch mehrere andere relevante CVEs in den drei wichtigsten SSL-VPN-Produkten. Die zusätzlichen CVEs, die in der nachstehenden Auflistung hervorgehoben sind, wurden neben den drei oben genannten in Alarme aufgenommen oder mit anderen Schwachstellen als Teil von Angriffsketten kombiniert.

• Citrix ADC, Gateway und SD-WAN WANOP: CVE-2019-19781, CVE-2020-8193, CVE-2020-8195, CVE-2020-8196.

• Pulse Connect Secure SSL VPN: CVE-2019-11510, CVE-2019-11539, CVE-2020-8260, CVE-2020-8243, CVE-2021-22893

• Fortinet Fortigate SSL VPN: CVE-2018-13379, CVE-2018-13382, CVE-2018-13383, CVE-2019-5591, CVE-2020-12812

Citrix ADC, Gateway und SD-WAN WANOP

CVE-2019-19781 ist eine Path- oder Directory-Traversal-Schwachstelle in Citrix-ADC-, -Gateway- und -SD-WAN-WANOP-Produkten, die am 17. Dezember 2019 bekannt wurde. Zum Zeitpunkt der Veröffentlichung der Schwachstelle waren keine Patches verfügbar. Um diese Sicherheitsanfälligkeit auszunutzen, könnte ein nicht authentifizierter Remote-Angreifer eine speziell gestaltete Anfrage, die eine Zeichenkette zur Umleitung eines Verzeichnisses enthält, an einen anfälligen Citrix-Endpunkt senden. Ein erfolgreicher Angriff würde es einem Angreifer ermöglichen, beliebigen Code auszuführen.

Schwachstellen beim Directory Traversal sind nicht neu, es gibt sie schon seit Jahrzehnten, aber sie haben in den letzten Jahren einen Aufschwung erlebt. Wie der Name schon sagt, kann ein Angreifer durch die Ausnutzung von Fehlern bei der Umleitung von Verzeichnissen Dateipfade durchqueren, die für einen nicht-administrativen Benutzer normalerweise unzugänglich wären.

CVE-2019-19781 wurde von mehreren Hackergruppen ausgenutzt, die es auf das Gesundheitswesen abgesehen haben. Ransomware-Gruppen wie Maze (inzwischen aufgelöst) und Conti greifen bevorzugt das Remote-Desktop-Protokoll an, nutzten aber auch schon CVE-2019-19781 bei Angriffen auf den Gesundheitssektor aus. Außerdem haben APT-Gruppen diese Schwachstelle gegen Unternehmen ausgenutzt, die an der Entwicklung von Covid-19-Impfstoffen arbeiten.

Pulse Connect Secure

Im April 2019 veröffentlichte Pulse Secure einen Out-of-Band-Sicherheitshinweis, um mehrere Schwachstellen in seiner SSL-VPN-Lösung Pulse Connect Secure zu beheben, darunter mehrere Schwachstellen, die vom DEVCORE-Forschungsteam aufgedeckt wurden. Die auffälligste Schwachstelle, die in dem Advisory aufgeführt wird, ist CVE-2019-11510, eine Schwachstelle, die die Offenlegung beliebiger Dateien ermöglicht und mit dem CVSSv3-Höchstwert von 10,0 bewertet wurde. Ein nicht authentifizierter, entfernter Angreifer könnte die Schwachstelle ausnutzen, indem er eine HTTP-Anfrage sendet, die eine speziell gestaltete Zeichenkette zum Umgehen von Verzeichnissen enthält.

Schwachstellen werden auch ausgenutzt, nachdem sich ein Angreifer erfolgreich bei einem anfälligen Gerät authentifiziert hat, entweder über eine separate Schwachstelle vor der Authentifizierung oder über gültige Zugangsdaten, die durch Diebstahl oder Brute-Force-Attacke erlangt wurden.

Fortinet FortiOS

Im Mai 2019 veröffentlichte Fortinet das Product Security Incident Response Team (PSIRT) Advisory FG-IR-18-384 zur Behebung von CVE-2018-13379, einer Directory-Traversal-Schwachstelle im FortiOS SSL VPN. Die Schwachstelle ermöglicht es einem nicht authentifizierten Angreifer, über manipulierte HTTP-Anfragen auf beliebige Systemdateien zuzugreifen.

Diese Schwachstelle wurde von DEVCORE in denselben Präsentationen auf der Black Hat USA 2019 und der DEF CON 27 beschrieben wie die bereits erwähnte Pulse Secure-Schwachstelle. Die beiden Präsentationen zeigten, wie CVE-2018-13379 ausgenutzt werden könnte, um eine Session-Datei zu erhalten, die den Benutzernamen und das Klartextpasswort eines VPN-Benutzers enthält, ganz ähnlich wie CVE-2019-11510. Diese Daten würden sich als wertvoll erweisen, um sich weitere Schwachstellen im VPN, darunter CVE-2018-13383 zunutze zu machen. Diese Heap-Overflow-Schwachstelle nach der Authentifizierung macht es möglich, eine Remote-Shell auf betroffenen Versionen von FortiOS-SSL-VPNs zu erhalten. CVE-2018-13383 wurde im PSIRT-Advisory FG-IR-18-388 im April 2019 adressiert, weitere betroffene Releasestände wurden im Mai, August und November 2019 gepatcht.

Bedrohungsakteure haben es auf alle drei SSL-VPNs abgesehen

Staatliche Akteure haben eine Vorliebe für Schwachstellen in SSL-VPNs gezeigt. Am 15. April 2021 veröffentlichten die NSA und das FBI eine gemeinsame Warnung über Aktivitäten des russischen Auslandsgeheimdienstes (SVR), die alle diese Schwachstellen ausnutzen. Dies folgte auf Warnungen aus dem Jahr 2020, die in diesem Zusammenhang auf staatlich gesponserte Angriffe aus China, Iran und Russland hinwiesen. Diese Schwachstellen wurden häufig in Exploit-Ketten ausgenutzt, die zur Übernahme von Domain-Controllern unter Verwendung von CVE-2020-1472, auch bekannt als Zerologon, führten.

Es mag allgemein bekannt sein, aber man kann es nicht oft genug wiederholen: Bedrohungsakteure nutzen in der Regel ältere Schwachstellen aus, für die Exploit- oder PoC-Code verfügbar ist. Alle hier beschriebenen Produkte wurden von Ransomware-Gruppen ins Visier genommen, um sich Zugang zu fremden Netzwerken zu verschaffen. Die meisten modernen Ransomware-Gruppen arbeiten mit dem Modell Ransomware-as-a-Service, d.h. sie stellen die Malware und die Infrastruktur zur Verfügung, sind aber auf Partner angewiesen, um sich Zugang zu Unternehmen zu verschaffen, damit sie ihre Ransomware einsetzen können. Diese Partner verwenden eine Vielzahl von Methoden, um sich Zugang zu verschaffen. Da SSL-VPNs ein Einfallstor in Unternehmen darstellen, werden Ransomware-Affiliates weiterhin auf diese ungepatchten Schwachstellen abzielen, bis Unternehmen Maßnahmen ergreifen, um diese Einstiegspunkte durch das Patchen von Schwachstellen in SSL-VPN-Produkten zu verstärken.

Die Behebung dieser immer wieder ausgenutzten Schwachstellen in SSL-VPNs ist vielleicht die einfachste Entscheidung zur Priorisierung für alle Unternehmen. Für diese Schwachstellen gibt es seit Jahren Patches, und Angreifer aller Art haben es schon genauso lange auf sie abgesehen. Regierungsbehörden haben mehrere Warnungen herausgegeben, die ein sofortiges Handeln empfehlen. Die Einrichtung von Wartungsfenstern für die Aktualisierung von SSL-VPNs kann sich als schwierig erweisen, insbesondere bei Mitarbeitern, die über verschiedene Zeitzonen verteilt sind. Wenn ein Unternehmen jedoch eines dieser Produkte einsetzt und die entsprechenden Schwachstellen noch nicht gepatcht hat, gilt es jetzt, einen Plan zu entwickeln, um dies zu beheben. Das Risiko ist kaum zu unterschätzen.

Identifizierung betroffener Systeme

Tenable hat eine Liste von Plug-ins zur Identifizierung aller hier besprochenen Schwachstellen zusammengestellt. Darüber hinaus wurden viele dieser CVEs in die 2020-Threat-Landscape-Retrospective-Scan-Policy-Vorlage aufgenommen, die für gezielte Scans der im TLR-Report behandelten CVEs verwendet werden kann. Die Scan-Policy-Vorlage ist für alle Tenable-Produkte verfügbar, einschließlich Nessus, Tenable.sc und Tenable.io.

(ID:47698723)