bk99.de entertain the web since 1997

bk99.de
g · SicherheitKuratiert

Sicherheitslücke in SugarCRM-Servern wird aktiv ausgenutzt

Zusammenfassung

Angreifer nutzten Anfang 2023 eine kritische Lücke in SugarCRM (CVE-2023-22952), um Server zu übernehmen und Schadsoftware zu installieren. Über den Pfad /index.php/ ließ sich die Authentifizierung umgehen, danach lud ein POST-Request eine PNG-Datei mit PHP-Code hoch, die bei späterem Abruf ausgeführt wurde. Censys fand bis zum 11. Januar 354 kompromittierte Server, knapp zwölf Prozent aller 3059 erreichbaren Instanzen.

Ideen

  • Exploit-Code kursierte schon vor dem Hotfix öffentlich.
  • Eine Bilddatei mit eingebettetem PHP-Code diente als Hintertür.
  • Nur Installationen mit der Identitätsverwaltung Sugaridentity waren nicht betroffen.
  • Von SugarCRM betriebene Cloud-Instanzen wurden sofort gepatcht.

Einsichten

  • Selbst gehostete Geschäftssoftware ist nur so sicher wie die Patchgeschwindigkeit ihrer Betreiber.
  • Nach einem Patch muss auch geprüft werden, ob bereits eingebrochen wurde.

Fakten

  • SugarCRM veröffentlichte Advisory und Hotfix am 5. Januar 2023.
  • Die meisten kompromittierten Server standen in den USA, Deutschland, Australien und Frankreich.

Referenzen

Kritik

  • Die Meldung verweist auf die Indicators of Compromise von Censys, nennt sie aber nicht selbst.

Empfehlungen

  • Prüfe nach kritischen Lücken die eigenen Server anhand veröffentlichter Indicators of Compromise.
  • Verhindere in Webanwendungen die Ausführung von Skripten in Upload- und Cache-Verzeichnissen.

Originalartikel lesen →

Im Webarchiv suchen

g · 2023

Cisco warnt vor Sicherheitslücken, die es nicht patchen wird

Cisco warnte im Januar 2023 vor kritischen Lücken in den Small-Business-Routern RV016, RV042, RV042G und RV082, kündigte aber an, keine Updates mehr zu liefern. Über manipulierte HTTP-Anfragen an die Weboberfläche ließ sich die Authentifizierung umgehen und Root-Zugriff erlangen (CVE-2023-20025). Da die Geräte ihr Lebensende erreicht hatten, verwies Cisco nur auf das Sperren der Ports 443 und 60443, obwohl bereits Proof-of-Concept-Code existierte.

g · 2020

Die Tricks mit der Google-Sicherheitslücke

Trend Micro fand Anfang 2020 Schad-Apps im Google Play Store, die eine Android-Lücke ausnutzten, die zuvor bereits von Kunden des Spyware-Herstellers NSO verwendet worden war. Google hatte die Lücke rund anderthalb Jahre vorher selbst entdeckt. Die Apps Camero und Filecrypt Manager dienten als Dropper und installierten unbemerkt die Spionage-App Callcam.

g · 2017

BSI warnt vor Sicherheitslücke in 60 Netgear-Modellen

Das BSI warnte im Januar 2017 vor einer Lücke in rund 60 Netgear-Routermodellen, über die Angreifer das Passwort der Weboberfläche auslesen konnten. Ausnutzbar war sie, wenn die Passwortwiederherstellung deaktiviert war und der Angreifer im selben Netz saß oder die Fernverwaltung aktiv war. Das BSI stufte das Risiko mit Stufe 5 ein, ohne klar zu erklären, was das bedeutet.