{"id":306149,"date":"2024-11-15T19:20:26","date_gmt":"2024-11-15T18:20:26","guid":{"rendered":"https:\/\/www.borncity.com\/blog\/?p=306149"},"modified":"2024-11-18T17:33:53","modified_gmt":"2024-11-18T16:33:53","slug":"schwachstellen-in-netwrix-pingcastle-pro-enterprise-nov-2024","status":"publish","type":"post","link":"https:\/\/borncity.com\/blog\/2024\/11\/15\/schwachstellen-in-netwrix-pingcastle-pro-enterprise-nov-2024\/","title":{"rendered":"Schwachstellen in Netwrix PingCastle Pro\/Enterprise (Nov. 2024)"},"content":{"rendered":"

\"Stop[English<\/a>]Kurze Information f\u00fcr Administratoren und IT-Dienstleister, die PingCastle (geh\u00f6rt nun zu Netwrix) zur Analyse der Active Directory-Sicherheit einsetzen. Wegen Schwachstellen im Code sollten \u00e4ltere Versionen der Enterprise und Pro-Ausgaben des Tools aus Sicherheitsgr\u00fcnden nicht mehr verwendet werden. Netwrix hat PingCastle Enterprise und Pro auf die Version 3.3.0.1 o aktualisiert, um die Schwachstellen zu schlie\u00dfen.<\/p>\n

<\/p>\n

Was ist Netwrix PingCastle?<\/h2>\n

\"\"PingCastle<\/a> ist ist ein Tool zur schnellen Bewertung eines Active Directory-Sicherheitsniveaus. Semperis fasst es hier<\/a> so zusammen: PingCastle kann Berechtigungen schnell scannen, um solche Delegationsschwachstellen zu erkennen. Das Tool liefert auch einen Bericht auf der Grundlage einer Anomalie-Analyse, der Einblicke in unerw\u00fcnschte Zugriffsrechte bietet, die f\u00fcr kritische Objekte in Ihrer AD-Umgebung bestehen k\u00f6nnten. Neben der Bewertung von AD-Implementierungen scannt PingCastle Workstations auf Probleme wie lokale Administratorrechte, offene Freigaben mit unzureichenden Sicherheitsberechtigungen, WannaCry-Schwachstellen und Unregelm\u00e4\u00dfigkeiten bei der Startzeit. PingCastle wurde inzwischen von Netwrix \u00fcbernommen<\/a>.<\/p>\n

PingCastle wegen Schwachstelle updaten<\/h2>\n

Blog-Leser Andy Wendel<\/a> hat mich heute auf Facebook in einer privaten Nachricht kontaktiert (danke daf\u00fcr) und dar\u00fcber informiert, dass Administratoren PingCastle in bestimmten Versionen und Ausgaben nicht mehr verwenden sollten. In \u00e4lteren Versionen von PingCastle Enterprise und PingCastle Enterprise Pro gibt es wohl einen (aktuell noch nicht ausgenutzten) Angriffsvektor, mit dem Active Directory-Installationen gef\u00e4hrdet werden.<\/p>\n

Bereits zum 1. November 2024 scheint es eine Sicherheitswarnung von Netwrix an Kunden gegeben zu haben, die dann am 14. November 2024 aktualisiert wurde. Der Inhalt der Sicherheitswarnung lautet, dass bei\u00a0einer routinem\u00e4\u00dfigen Sicherheits\u00fcberpr\u00fcfung von Netwrix in PingCastle Enterprise und PingCastle Enterprise Pro mehrere Schwachstellen identifiziert und behoben wurden.<\/p>\n

Die Schwachstellen k\u00f6nnen es einem Angreifer erm\u00f6glichen, PingCastle Enterprise und Pro nicht mehr benutzbar zu machen oder unbefugten Zugriff auf die Anwendung zu\u00a0 erm\u00f6glichen. Netwrix liegen aber bisher keine Hinweise auf eine aktive Ausnutzung einer dieser Schwachstellen vor.<\/p>\n

Allen Kunden von Netwrix PingCastle Enterprise und Pro wird empfohlen, PingCastle Enterprise und PingCastle Enterprise Pro so schnell wie m\u00f6glich auf Version 3.3.0.1 oder h\u00f6her zu aktualisieren.<\/p>\n

Liste der Schwachstellen<\/h2>\n

Hier noch eine Liste der von Netwrix in PingCastle Enterprise und PingCastle Enterprise Pro dokumentierten Schwachstellen:<\/p>\n

Broken Authentication – API Key State Ignored<\/h3>\n

Netwrix PingCastle Enterprise and Pro in den Versionen vor < 3.3.0.1 7.7\u00a0erlauben den Zugriff mit deaktivierten API-Schl\u00fcsseln, was es einem Angreifer, der im Besitz des deaktivierten API-Schl\u00fcssels ist, erm\u00f6glichen kann, unbefugten Zugriff auf die Anwendung zu erhalten. Die Schwachstelle wurde mit einem CVSS 3.1 Score von\u00a06.5 bewertet.<\/p>\n

Account Policy – Weak Lockout Policy<\/h3>\n

Netwrix PingCastle Enterprise and Pro in den Versionen vor < 3.3.0.1 7.6 setzen keine Kontosperrungsrichtlinie (account lockout policy) durch. Das erh\u00f6ht die Wahrscheinlichkeit, dass ein b\u00f6swilliger Akteur durch W\u00f6rterbuchangriffe auf bekannte Benutzerkonten, bei denen MFA nicht aktiviert ist, unbefugten Zugriff auf die Anwendung erlangen kann. Die Schwachstelle wurde mit einem CVSS 3.1 Score von 7.1 bewertet.<\/p>\n

Denial of Service – Shared Resource Lock<\/h3>\n

Netwrix PingCastle Enterprise and Pro in den Versionen < 3.3.0.1 4.9 verwenden\u00a0eine gemeinsam genutzte Ressource, um Brute-Force-Angriffe auf Konto-Wiederherstellungs-Codes zu verhindern. Dies k\u00f6nnen es einem Angreifer erm\u00f6glichen, einen Denial-of-Service-Angriff (DOS) auszuf\u00fchren, durch den die Anwendung f\u00fcr die Dauer des Angriffs nicht mehr verf\u00fcgbar ist. Die Schwachstelle wurde mit einem CVSS 3.1 Score von 4.6 bewertet.<\/p>\n

\n

Published: November 14, 2024
\nExecutive Summary
\nSeveral vulnerabilities were identified and remediated during a routine security review of Netwrix PingCastle Enterprise and Pro. The vulnerabilities may allow an attacker to render PingCastle Enterprise and Pro unavailable or to gain unauthorized access to the application.<\/p>\n

Netwrix is unaware of any evidence of active exploitation of any of these vulnerabilities.<\/p>\n

Vulnerability
\nTitle Affected Component Affected Versions CVSS 4.0 Score CVSS 3.1 Score (Base \/ Temporal) Description<\/p>\n

Broken Authentication – API Key State Ignored Netwrix PingCastle Enterprise and Pro < 3.3.0.1 7.7<\/strong>
\n7.5 \/ 6.5
\nNetwrix PingCastle Enterprise and Pro allow access using API keys that have been disabled which may allow an attacker in possession of the disabled API key, to gain unauthorized access to the application.<\/p>\n

Account Policy – Weak Lockout Policy Netwrix PingCastle Enterprise and Pro < 3.3.0.1 7.6<\/strong>
\n8.1 \/ 7.1
\nNetwrix PingCastle Enterprise and Pro do not enforce an account lockout policy which increases the chance that a malicious actor could gain unauthorized access to the application by conducting dictionary attacks against known user accounts which do not have MFA enabled.<\/p>\n

Denial of Service – Shared Resource Lock Netwrix PingCastle Enterprise and Pro < 3.3.0.1 4.9<\/strong>
\n5.3 \/ 4.6
\nNetwrix PingCastle Enterprise and Pro use a shared resource to prevent brute force attacks against account recovery codes which may allow an attacker to execute a denial of service (DOS) attack rendering the application unavailable for the duration of the attack.<\/p>\n

Exploitability
\nFactors such as whether details about the vulnerability are publicly known, whether an exploit is readily available, or whether adversaries are actively exploiting the vulnerability are valuable in making risk-based judgements about urgency and priority; customers should use the information below in making those decisions.<\/p>\n

Title Publicly known? Exploit available? Actively exploited?
\nBroken Authentication – API Key State Ignored No No No
\nAccount Policy – Weak Lockout Policy No No No
\nDenial of Service – Shared Resource Lock No No No
\nSolution<\/p>\n

All Netwrix PingCastle Enterprise and Pro customers are advised to update PingCastle Enterprise and Pro to version 3.3.0.1 or later as soon as possible.<\/p>\n

Instructions for the Netwrix PingCastle Enterprise upgrade process can be found in this help center article.<\/p>\n

Instructions for the Netwrix PingCastle Pro upgrade process can be found in this help center article.<\/p>\n

Please contact the Netwrix technical support team should you need assistance.<\/p>\n

Official Fixes: Updated software has been released containing official fixes for all listed vulnerabilities as indicated in the table below. Please ensure you apply the correct hotfix to the version of Netwrix PingCastle you are using.<\/p>\n

Title Version
\nBroken Authentication – API Key State Ignored 3.3.0.1
\nAccount Policy – Weak Lockout Policy 3.3.0.1
\nDenial of Service – Shared Resource Lock 3.3.0.1<\/p>\n

FAQ
\n1. How do I determine the current version of Netwrix PingCastle?<\/p>\n

The current Netwrix PingCastle Enterprise and Pro version can be found by clicking the About link at the bottom each page in Netwrix PingCastle Enterprise and Pro.<\/p>\n

2. Are Netwrix PingCastle Basic or Standard versions affected?<\/p>\n

No, only Netwrix PingCastle Enterprise and Pro is affected by the vulnerabilities listed above.<\/p>\n

Revision Date Description
\n1 November 14, 2024 First published<\/p><\/blockquote>\n

Erg\u00e4nzung: Vincent Le Toux hat mir auf X die folgende Stellungnahme<\/a> zukommen lassen:<\/p>\n

The note issued by netwrix describes issues that are not exploitable in real life (brute force of a MFA recovery key or XSS mitigated by the CSP header that prohibit the use of JavaScript to \u00ab\u00a0explicitly allowed\u00a0\u00bb) Please relativise the importance of the bugs fixed.<\/p><\/blockquote>\n","protected":false},"excerpt":{"rendered":"

[English]Kurze Information f\u00fcr Administratoren und IT-Dienstleister, die PingCastle (geh\u00f6rt nun zu Netwrix) zur Analyse der Active Directory-Sicherheit einsetzen. Wegen Schwachstellen im Code sollten \u00e4ltere Versionen der Enterprise und Pro-Ausgaben des Tools aus Sicherheitsgr\u00fcnden nicht mehr verwendet werden. Netwrix hat PingCastle … Weiterlesen →<\/span><\/a><\/p>\n","protected":false},"author":2,"featured_media":0,"comment_status":"open","ping_status":"closed","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[426,7459],"tags":[4328,3836],"class_list":["post-306149","post","type-post","status-publish","format-standard","hentry","category-sicherheit","category-software","tag-sicherheit","tag-software"],"_links":{"self":[{"href":"https:\/\/borncity.com\/blog\/wp-json\/wp\/v2\/posts\/306149","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/borncity.com\/blog\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/borncity.com\/blog\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/borncity.com\/blog\/wp-json\/wp\/v2\/users\/2"}],"replies":[{"embeddable":true,"href":"https:\/\/borncity.com\/blog\/wp-json\/wp\/v2\/comments?post=306149"}],"version-history":[{"count":0,"href":"https:\/\/borncity.com\/blog\/wp-json\/wp\/v2\/posts\/306149\/revisions"}],"wp:attachment":[{"href":"https:\/\/borncity.com\/blog\/wp-json\/wp\/v2\/media?parent=306149"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/borncity.com\/blog\/wp-json\/wp\/v2\/categories?post=306149"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/borncity.com\/blog\/wp-json\/wp\/v2\/tags?post=306149"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}