Kritische Confluence-Lücke wurde vor dem Patch ausgenutzt

Zusammenfassung

Atlassian veröffentlichte Anfang Oktober 2023 ein Update für eine kritische Lücke in Confluence mit der Höchstbewertung CVSS 10. Laut Microsoft nutzten chinesische Angreifer sie bereits seit Mitte September aus. Felix von Leitner spottete über Atlassians Seite zum Schwachstellenmanagement, die Lücken als unvermeidlichen Teil der Softwareentwicklung darstellt und vor allem auf Scans und ein Bug-Bounty-Programm setzt.

Was passiert war

Confluence ist ein verbreitetes Wiki- und Dokumentationssystem für Firmen, oft mit vertraulichen Inhalten. Die Lücke CVE-2023-22515 erlaubte es Angreifern, ohne Anmeldung Administratorkonten auf selbst betriebenen Confluence-Servern anzulegen. Weil sie schon Wochen vor dem Update ausgenutzt wurde, half das schnelle Einspielen allein nicht; Betreiber mussten auch prüfen, ob sie bereits kompromittiert waren.

Microsoft ordnete die Angriffe einer Gruppe zu, die es Storm-0062 nennt und mit China in Verbindung bringt.

Scannen oder sicher konstruieren?

Der inhaltliche Kern der Kritik ist berechtigt: Software wird nicht dadurch sicher, dass man sie nach Fehlern durchsucht, sondern dadurch, dass man sie von Anfang an mit Sicherheit als Ziel entwirft. Scans, Abhängigkeitsprüfungen und Bug Bounties finden Fehler, die schon da sind. Sicherheitsarchitektur, sichere Sprachen und Prüfungen im Entwurf verhindern, dass sie entstehen. In der Praxis braucht es beides.

Ideen

• Eine ausgenutzte Lücke erfordert neben dem Update auch eine Prüfung auf Kompromittierung.
• Sicherheit entsteht durch Konstruktion, nicht allein durch Scannen.
• Selbst betriebene Unternehmenswikis enthalten oft besonders schützenswerte Daten.

Einsichten

• Wer Lücken für Schicksal hält, investiert zu wenig in Vorbeugung.
• Scans und Bug Bounties ergänzen sichere Entwicklung, ersetzen sie aber nicht.

Fakten

• Die Lücke trägt die Kennung CVE-2023-22515 und die Bewertung CVSS 10.
• Laut Microsoft wurde die Lücke seit Mitte September 2023 ausgenutzt.

Referenzen

• fefe: Kritische Confluence-Lücke wurde vor dem Patch ausgenutzt

Kritik

• Der Spott des Originals über Microsofts eigene Reaktionszeiten ist berechtigt, ändert aber nichts an der Richtigkeit der Warnung.

Bemerkungen

• Atlassian hat den Verkauf neuer Server-Lizenzen eingestellt und drängt Kunden in die Cloud oder zu Data-Center-Versionen.

Empfehlungen

• Mache selbst betriebene Wikis und Ticketsysteme nicht direkt aus dem Internet erreichbar.
• Prüfe nach kritischen Lücken auch auf neu angelegte Konten und unbekannte Plugins, nicht nur die Versionsnummer.

Originalbeitrag lesen →

Im Webarchiv suchen

Links zur Originalquelle und zum Webarchiv öffnen einen neuen Tab.