IT-Sicherheit: Achillesferse SSL-VPN-Schwachstellen

Im Beitrag Warten auf OpenSSL-Patches: Qnap, Synology, Acronis & Co. hatte ich auf eine kürzlich entdeckte und geschlossene kritische Schwachstelle in OpenSSL hingewiesen, die sich auf viele Software-Produkte auswirkt. Es müsste gepatcht werden, was das Zeug hält – aber die Updates sind nicht verfügbar. Von Sicherheitsanbieter Tenable ist mir zufällig ein Text zugegangen, der sich damit befasst, dass SSL-VPN-Schwachstellen zur Achillesferse der IT-Sicherheit werden. Im Text erläutert Tenable, warum Unternehmen dem Patchen von SSL-VPNs Vorrang einräumen müssen.

Es ist ein gravierendes Problem: Der aufkommende Trend zu mehr mobilem Arbeiten bzw. Home Office wurde durch die Coronavirus-Pandemie immens beschleunigt. Dadurch hat auch die Nutzung von VPN-Verbindungen immens zugenommen. Auch wenn vermehrt diskutiert wird, ob Zero Trust Networking-Konzepte dem VPN-Ansatz mittelfristig den Rang ablaufen werden, so bleibt VPN (und damit verbunden VPN-SSL) vorerst die Lösung der Wahl für sehr viele Unternehmen.

Experten von Tenable haben herausgefunden, dass drei kritische SSL-VPN-Schwachstellen zu den am häufigsten ausgenutzten Schwachstellen von Advanced Persistent Threat (APT) und Ransomware-Gruppen gehören. Tenable stellt zudem fest, dass Sicherheitslücken in SSL-VPN-Produkten zu den am häufigsten von Angreifern ausgenutzten Schwachstellen gehören, um sich Zugang zu Unternehmensnetzwerken zu verschaffen.

Um diese verteilten Unternehmensnetzwerke zu schützen, müssen IT-Teams sicherstellen, dass ihre SSL-VPN-Produkte vollständig aktualisiert und richtig konfiguriert sind, damit Angreifer fernbleiben. Anfang des Jahres veröffentlichte das Tenable Security Response Team (SRT) seinen Threat Landscape Retrospective (TLR) Report. Einer der dort erfassten Trends sind die bei Angreifern beliebten Secure Socket Layer (SSL)-Schwachstellen in Virtual Private Networks (VPNs).

Dem Patchen von SSL-VPNs Vorrang einräumen

Der TLR-Report hob insbesondere die folgenden drei Schwachstellen in VPN-Produkten als Teil der fünf größten Schwachstellen des Jahres hervor.

• CVE-2019-19781, von der der Citrix Application Delivery Controller (ADC), Gateway und SD-WAN WANOP betroffen sind.
• CVE-2019-11510, wovon Pulse Connect Secure SSL VPN betroffen ist.
• CVE-2018-13379, wovon Fortinet Fortigate SSL VPN betroffen ist.

Obwohl alle drei Schwachstellen im Jahr 2019 bekannt gegeben und bis Januar 2020 gepatcht wurden, werden sie auch in der zweiten Jahreshälfte 2021 noch routinemäßig ausgenutzt. Laut einem gemeinsamen Cybersecurity Advisory von vier internationalen Regierungsbehörden gehörten diese Schwachstellen zu den am häufigsten ausgenutzten im Jahr 2020. Tatsächlich wurde CVE-2019-19781 den US-Regierungsdaten zufolge, als die am häufigsten ausgenutzte Schwachstelle des Jahres 2020 bezeichnet.

Auf der Grundlage dieser Informationen hielt es Tenable für angebracht, im Jahr 2021 erneut zu untersuchen, wie Angreifer diese Schwachstellen in der Vergangenheit ausgenutzt haben, und neue Berichte über Angriffe zu berücksichtigen. Die Zusammenstellung dieser Informationen verdeutlicht die dringende Notwendigkeit, diese Schwachstellen in allen Unternehmen zu patchen, die hier noch hinterherhinken.

SSL-VPNs als Einfallstor für Angreifer

Um ein ganzheitlicheres Bild zu vermitteln, untersuchten Forscher auch mehrere andere relevante CVEs in den drei wichtigsten SSL-VPN-Produkten. Die zusätzlichen CVEs, die in der nachstehenden Tabelle hervorgehoben sind, wurden neben den drei oben genannten in Alarme aufgenommen oder mit anderen Schwachstellen als Teil von Angriffsketten kombiniert.

Citrix ADC, Gateway und SD-WAN WANOP

CVE-2019-19781 ist eine Path- oder Directory Traversal-Schwachstelle in Citrix ADC-, Gateway- und SD-WAN WANOP-Produkten, die am 17. Dezember 2019 bekannt wurde. Zum Zeitpunkt der Veröffentlichung der Schwachstelle waren keine Patches verfügbar. Um diese Sicherheitsanfälligkeit auszunutzen, könnte ein nicht authentifizierter, remote Angreifer eine speziell gestaltete Anfrage, die eine Zeichenkette zur Umleitung eines Verzeichnisses enthält, an einen anfälligen Citrix-Endpunkt senden. Ein erfolgreicher Angriff würde es einem Angreifer ermöglichen, beliebigen Code auszuführen.

Schwachstellen beim Directory Traversal sind nicht neu, es gibt sie schon seit Jahrzehnten, aber sie haben in den letzten Jahren einen Aufschwung erlebt. Wie der Name schon sagt, kann ein Angreifer durch die Ausnutzung von Fehlern bei der Umleitung von Verzeichnissen Dateipfade durchqueren, die für einen nicht-administrativen Benutzer normalerweise unzugänglich wären.

CVE-2019-19781 wurde von mehreren Hackergruppen ausgenutzt, die es auf das Gesundheitswesen abgesehen haben. Ransomware-Gruppen wie Maze (inzwischen aufgelöst) und Conti greifen bevorzugt das Remote-Desktop-Protokoll an, nutzten aber auch schon CVE-2019-19781 bei Angriffen auf den Gesundheitssektor aus. Außerdem haben APT-Gruppen diese Schwachstelle gegen Unternehmen ausgenutzt, die an der Entwicklung von COVID-19-Impfstoffen arbeiten.

Pulse Connect Secure

Im April 2019 veröffentlichte Pulse Secure einen Out-of-Band-Sicherheitshinweis, um mehrere Schwachstellen in seiner SSL-VPN-Lösung Pulse Connect Secure zu beheben, darunter mehrere Schwachstellen, die vom DEVCORE-Forschungsteam aufgedeckt wurden. Die auffälligste Schwachstelle, die in dem Advisory aufgeführt wird, ist CVE-2019-11510, eine Schwachstelle, die die Offenlegung beliebiger Dateien ermöglicht und mit dem CVSSv3-Höchstwert von 10,0 bewertet wurde. Ein nicht authentifizierter, entfernter Angreifer könnte die Schwachstelle ausnutzen, indem er eine HTTP-Anfrage sendet, die eine speziell gestaltete Zeichenkette zum Umgehen von Verzeichnissen enthält.

Schwachstellen werden auch ausgenutzt, nachdem sich ein Angreifer erfolgreich bei einem anfälligen Gerät authentifiziert hat, entweder über eine separate Schwachstelle vor der Authentifizierung oder über gültige Zugangsdaten, die durch Diebstahl oder Brute-Force Attacke erlangt wurden.

Fortinet FortiOS

Im Mai 2019 veröffentlichte Fortinet das Product Security Incident Response Team (PSIRT) Advisory FG-IR-18-384 zur Behebung von CVE-2018-13379, einer Directory Traversal-Schwachstelle im FortiOS SSL VPN. Die Schwachstelle ermöglicht es einem nicht authentifizierten Angreifer, über manipulierte HTTP-Anfragen auf beliebige Systemdateien zuzugreifen.

Diese Schwachstelle wurde von DEVCORE in denselben Präsentationen auf der Black Hat USA 2019 und der DEF CON 27 beschrieben wie die bereits erwähnte Pulse Secure-Schwachstelle. Die beiden Präsentationen zeigten, wie CVE-2018-13379 ausgenutzt werden könnte, um eine Session-Datei zu erhalten, die den Benutzernamen und das Klartextpasswort eines VPN-Benutzers enthält, ganz ähnlich wie CVE-2019-11510. Diese Daten würden sich als wertvoll erweisen, um sich weitere Schwachstellen im VPN, darunter CVE-2018-13383 zunutze zu machen. Diese Heap-Overflow-Schwachstelle nach der Authentifizierung macht es möglich, eine Remote-Shell auf betroffenen Versionen von FortiOS SSL-VPNs zu erhalten. CVE-2018-13383 wurde im PSIRT-Advisory FG-IR-18-388 im April 2019 adressiert, weitere betroffene Releasestände wurden im Mai, August und November 2019 gepatcht.

Bedrohungsakteure haben es auf alle drei SSL-VPNs abgesehen

Staatliche Akteure haben eine Vorliebe für Schwachstellen in SSL-VPNs gezeigt. Am 15. April 2021 veröffentlichten die NSA und das FBI eine gemeinsame Warnung über Aktivitäten des russischen Auslandsgeheimdienstes (SVR), die alle diese Schwachstellen ausnutzen. Dies folgte auf Warnungen aus dem Jahr 2020, die in diesem Zusammenhang auf staatlich gesponserte Angriffe aus China, Iran und Russland hinwiesen. Diese Schwachstellen wurden häufig in Exploit-Ketten ausgenutzt, die zur Übernahme von Domain-Controllern unter Verwendung von CVE-2020-1472, auch bekannt als Zerologon, führten.

Es mag allgemein bekannt sein, aber man kann es nicht oft genug wiederholen: Bedrohungsakteure nutzen in der Regel ältere Schwachstellen aus, für die Exploit- oder PoC-Code verfügbar ist. Alle in diesem Beitrag beschriebenen Produkte wurden von Ransomware-Gruppen ins Visier genommen, um sich Zugang zu fremden Netzwerken zu verschaffen. Die meisten modernen Ransomware-Gruppen arbeiten mit dem Modell Ransomware-as-a-Service, d. h. sie stellen die Malware und die Infrastruktur zur Verfügung, sind aber auf Partner angewiesen, um sich Zugang zu Unternehmen zu verschaffen, damit sie ihre Ransomware einsetzen können. Diese Partner verwenden eine Vielzahl von Methoden, um sich Zugang zu verschaffen. Da SSL-VPNs ein Einfallstor in Unternehmen darstellen, werden Ransomware-Affiliates weiterhin auf diese ungepatchten Schwachstellen abzielen, bis Unternehmen Maßnahmen ergreifen, um diese Einstiegspunkte durch das Patchen von Schwachstellen in SSL-VPN-Produkten zu verstärken.

Die Behebung dieser immer wieder ausgenutzten Schwachstellen in SSL-VPNs ist vielleicht die einfachste Entscheidung zur Priorisierung für alle Unternehmen. Für diese Schwachstellen gibt es seit Jahren Patches, und Angreifer aller Art haben es schon genauso lange auf sie abgesehen. Regierungsbehörden haben mehrere Warnungen herausgegeben, die ein sofortiges Handeln empfehlen. Die Einrichtung von Wartungsfenstern für die Aktualisierung von SSL-VPNs kann sich als schwierig erweisen, insbesondere bei Mitarbeitern, die über verschiedene Zeitzonen verteilt sind. Wenn ein Unternehmen jedoch eines dieser Produkte einsetzt und die entsprechenden Schwachstellen noch nicht gepatcht hat, gilt es jetzt einen Plan zu entwickeln, um dies zu beheben. Das Risiko ist kaum zu unterschätzen.

Identifizierung betroffener Systeme

Eine Liste von Tenable-Plugins zur Identifizierung aller in diesem Beitrag besprochenen Schwachstellen finden Sie hier. Darüber hinaus wurden viele dieser CVEs in die 2020 Threat Landscape Retrospective Scan-Policy Vorlage aufgenommen, die für gezielte Scans der im TLR-Report behandelten CVEs verwendet werden kann. Die Scan Policy Vorlage ist für alle Tenable-Produkte verfügbar, einschließlich Nessus, Tenable.sc und Tenable.io.