Warnung vor Angriffen auf alte Sicherheitslücken

Die US-amerikanische IT-Sicherheitsbehörde CISA hat Ende vergangener Woche fünf Sicherheitslücken neu in den „Known-Exploited-Vulnerabilities“-Katalog (KEV) aufgenommen. Es handelt sich um teils sehr alte Schwachstellen, die Angreifer aktuell im Visier haben.

Parallel veröffentlichte die Behörde eine Warnung zu einer chinesischen Akteuren zugeordnete Angriffskampagne, in der alle fünf Lücken als zum Ausspähen sensibler Informationen ausgenutzt gelistet sind. Die neuen Einträge im KEV-Katalog der CISA haben ansonsten noch keine weitere Würdigung erhalten. Die ältesten Schwachstellen stammen aus dem Jahr 2015. Etwa in lange nicht aktualisierten Fassungen von ProFTPD können Angreifer aus dem Netz beliebige Dateien mit den Befehlen „site cpfr“ und „site cpto“ auslesen oder schreiben (CVE-2015-3306, CVSS2 10.0, Risiko „kritisch“). Betroffen war das mod_copy-Modul von ProFTPD 1.3.5 – aktuell ist der Stand 1.3.9d respektive der Release-Candidate 1.3.10rc4.

Im DNS-Server BIND klaffte im Jahr 2015 eine Sicherheitslücke, die Angreifern aus dem Netz das Provozieren von Denial-of-Service-Zuständen ermöglichte (CVE-2015-5477, CVSS 7.5, Risiko „hoch“). Eine Schwachstelle in Apache Struts aus dem Jahr 2016 können bösartige Akteure bei aktivierter „Dynamic Method Invocation“ zum Einschleusen und Ausführen beliebigen Programmcodes missbrauchen (CVE-2016-3081, CVSS 8.1, Risiko „hoch“). Eine Path-Traversal-Lücke in OnlyOffice Docs ermöglicht bei aktiviertem JWT ebenfalls Codeschmuggel aus dem Netz (CVE-2021-3199, CVSS 9.8, Risiko „kritisch“). In Strapi können Angreifer hingegen im Admin-Panel sensible Informationen auslesen – in bestimmten Fällen neben Passworthashes auch Passwort-Reset-Token. Die CISA verweist darauf, dass die Verkettung mit der Schwachstelle CVE-2023-22621 in der Ausführung von eingeschleustem Schadcode münden kann (CVE-2023-22894, CVSS laut CISA 7.2, Risiko „hoch“).

Aktualisieren oder außer Betrieb setzen

Für einige betroffene Software stellen die Hersteller noch Aktualisierungen bereit, um die Schwachstellen auszubessern. In einigen Fällen ist die betroffene Software jedoch am Ende des Produktlebenszyklus angelangt. Wo keine Migration auf eine abgesicherte Version möglich ist, sollen Organisationen die Nutzung der Software einstellen. US-Bundesbehörden setzt die CISA dafür eine Frist von nur drei Tagen, sie endete bereits am 11. Oktober.

Dass Angreifer auch alte Schwachstellen attackieren, ist nicht ungewöhnlich. Mitte April dieses Jahres wurden etwa Cyberangriffe auf eine 17 Jahre alte Excel-Lücke bekannt.