„Bis Freitag gepatcht oder bis Montag gehackt“, warnt der leitende Sicherheitsberater Olle Segerdahl von F-Secure . „So würde ich das Dilemma beschreiben, in dem sich momentan Admins befinden, die Salt einsetzen“.
Bei Salt handelt es sich um eine Open-Source-Software des Unternehmens SaltStack, die in Infrastruktur-, Netzwerk- und Sicherheitsautomatisierungslösungen eingesetzt wird. Es ist ein beliebtes Tool, das zur Wartung von Rechenzentren und Cloud-Umgebungen verwendet wird. Olle und sein Team haben im Rahmen eines Kundenauftrags die Schwachstellen entdecktet und Mitte März 2020 SaltStack gemeldet. Darüber hinaus hat F-Secure die neue Schwachstellen bei Salt (CVE-2020-11651 and CVE-2020-11652) heute in einem Advisory von F-Secure Labs bekannt gegeben.
Die Schwachstellen ermöglichen es Angreifern, die Authentifizierungs- und Autorisierungskontrollen zu umgehen, mit denen der Zugriff auf die Salt-Implementierungen (die aus einem “Master”-Server und einer beliebigen Anzahl von sogenannten „Minions“-Clients bestehen) geregelt wird. Ein Angreifer kann diese Schwachstellen ausnutzen, um aus der Ferne Code mit Root-Privilegien auf dem Master und schließlich auf allen mit dem Master verbundenen Minions auszuführen.
Angreifer könnten einfach den Master und seine Minions (von denen es Hunderte von Servern geben könnte) einsetzen, um Kryptowährungen zu farmen. Erfahrene Angreifer können jedoch auch Angriffe mit größerer Wirkung durchführen. Sie können zum Beispiel Hintertüren installieren, durch die sie das Netzwerk erkunden können, und dann zum Diebstahl vertraulicher Daten übergehen, zu Erpressung (entweder durch Lösegeld oder die Drohung, vertrauliche Informationen nach außen preiszugeben) oder zu einer Vielzahl anderer Angriffe, die auf ihr spezifisches Ziel und ihre Ziele zugeschnitten sind.
Die Schwachstellen könnten kaum schlimmer sein
Wie Mikko Hyppönen, Chief Research Officer bei F-Secure, Anfang der Woche twitterte, werden die Schwachstellen im Common Vulnerability Scoring System mit einer 10 bewertet. Das ist somit die höchstmögliche Bewertung des Schweregrades, die möglich ist. Sie wird nur für Schwachstellen vergeben, die von der National Vulnerability Database als sehr kritisch eingestuft werden.
Was Olle jedoch wirklich beunruhigt, sind die 6000 Master, die er bei seinen Nachforschungen im Internet entdeckt hat und die, wie er sagt, in Cloud-Umgebungen wie AWS und GCP sehr beliebt sind.
„Ich hatte eigentlich erwartet, dass nicht so viele Master öffentlich im Internet stehen. Es gibt nicht viele Gründe, Infrastrukturmanagementsystemedem Internet auszusetzen“, sagt Olle. „Wenn neue Schwachstellen bekannt werden, versuchen Angreifer schnellst möglich anfällige Hosts auszunützen, bevor Admins sie patchen können. Wenn ich also einen dieser 6000 Master betreiben würde, würde ich mich nicht wohl dabei fühlen, mich ins Wochenende zu verabschieden, obwohl ich weiß, dass ich noch ungepatchte Systeme habe .
Von den Sicherheitslücken sind die Salt-Versionen 3000.1 und älter betroffen, die im Grunde alle Salt-Implementierungen abdecken, die vor dem heute veröffentlichten SaltStack Update im Einsatz waren. Und obwohl es für Angreifer schwieriger sein wird, vom Internet versteckte Hosts zu erreichen, können sie die Master dennoch ausnutzen, indem sie auf andere Weise auf Unternehmensnetzwerke zugreifen.
Olle empfiehlt Organisationen, die Auto-Update-Funktionen von Salt zu nutzen, um sicherzustellen, dass sie diese und künftige Patches erhalten, sobald sie verfügbar sind. Er schlägt außerdem vor, dass Unternehmen mit gefährdeten Salt-Hosts zusätzliche Kontrollen einsetzen, um den Zugang zu den Salt-Master-Ports (4505 und 4506 bei Standardkonfigurationen) einzuschränken. SaltStack hat auf seiner Website zusätzliche Anleitungen zur Absicherung von Salt-Implementierungen veröffentlicht.
Schwachstelle ja, Exploit nein
Auch wenn es sich um eine kritische Schwachstelle handelt, gibt es Stand heute noch keinen Exploit, um es Angreifern zu ermöglichen, die Schwachstelle auszunutzen. Und wenn, ist es für Unternehmen möglich, Angriffe zu erkennen. Betroffene Unternehmen können in den gespeicherte Logs nach Anzeichen für bösartige Inhalte oder verdächtige Aktivitäten suchen.
Kategorien