Tag Vulnerability

Erfolgreicher Cyberangriff ermöglicht Zugriff auf Root-Ebene

Kürzlich wurde eine hochgradige Sicherheitslücke entdeckt, die die iControl REST-Schnittstelle und die TMOS Shell (tmsh)-Komponenten des Systems BIG-IP von F5 betrifft. Bei erfolgreicher Ausnutzung der Schwachstelle können authentifizierte Angreifer beliebige Systembefehle ausführen und so Zugriff auf die BIG-IP-Plattform auf Root-Ebene erlangen. Betroffen von der Sicherheitslücke sind die Versionen 17.1.0 bis 17.1.2, 16.1.0 bis 16.1.5 und 15.1.0 bis 15.1.10 von F5 BIG-IP aller Module.

Aktuell gibt es noch keine Hinweise auf eine aktive Ausnutzung der Sicherheitslücke. Ein öffentlich zugänglicher Proof of Concept (PoC) erhöht aber die Wahrscheinlichkeit, dass die Schwachstelle in Zukunft von Cyberangreifern ausgenutzt werden könnte. Der PoC demonstriert, wie ein Angreifer beliebige Systemfehler als root-Benutzer ausführen kann, wenn er sich mit einem Konto mit geringen Rechten – beispielsweise mit der Rolle Auditor – authentifiziert. Angreifer können die Schwachstelle mit Befehlen wie save ausnutzen, die sich dann mit erweiterten Rechten ausführen lassen. Dadurch kann der Angreifer Änderungen am System vornehmen.

Die Sicherheitslücke wurde vom Hersteller durch mehrere Versionen gepatcht. Zudem ist es empfehlenswert, dass Benutzer eine oder mehrere Gegenmaßnahmen implementieren, um den Zugriff auf die iControl REST-Schnittstelle und die tmsh zu sichern. Dazu gehören beispielsweise das Blocken des iControl REST-Zugriffs über die Verwaltungsschnittstelle für vertrauenswürdige Benutzer, die Einschränkung des Zugriffs auf die BIG-IP-Befehlszeile über SSH, das Blockieren des SSH-Zugriffs über eigene IP-Adressen oder das Blocken des SSH-Zugriffs über die Verwaltungsschnittstelle.

Analyse von Censys

Mit der Censys Internet Plattform für Threat Hunting und Attack Surface Management sind 1.124 exponierte Instanzen des F5 BIG-IP Configuration Utility (ohne virtuelle Hosts) auffindbar. Es kann sein, dass nicht alle dieser Instanzen verwundbar sind, da keine Informationen über spezifische Versionen vorliegen. 30 % der beobachteten, möglicherweise betroffenen Instanzen befinden sich in den USA, auch in Europa befinden sich einige.

Insgesamt nutzen 437.204 Geräte BIG-IP für Load Balancing und andere modulare Dienste der BIG-IP-Plattform. Diese Geräte wurden anhand von Sitzungs-Cookies in den Antwort-Header, die auf die Nutzung von BIG-IP hinweisen, mit BIG-IP in Verbindung gebracht. Diese Geräte sind jedoch nicht zwangsläufig von der Schwachstelle betroffen, da BIG-IP auch häufig als Proxy zwischen Client und Server fungiert.

Mehr Informationen und eine Karte der exponierten Anwendungen finden Sie hier: https://censys.com/cve-2025-20029/.

Censys, Inc.TM ist die führende Internet-Intelligence-Plattform für Threat Hunting und Attack Surface Management. Censys wurde 2017 in Ann Arbor in Michigan, USA, gegründet und bietet Unternehmen den weltweit umfassendsten Echtzeit-Überblick ihrer Internet-Infrastruktur, Assets und Geräte. Kunden wie Google, Cisco, Microsoft, Samsung, das U.S. Department of Homeland Security, das Office of the Director of National Intelligence (ODNI), die Cybersecurity & Infrastructure Security Agency (CISA) und mehr als 50 % der Fortune 500 vertrauen auf Censys für eine kontextualisierte Echtzeitansicht ihrer Internet- und Clouds-Assets. Um mehr zu erfahren, besuchen Sie www.censys.com und folgen Sie Censys auf LinkedIn, X, Bluesky und Mastodon.

Firmenkontakt
Censys
Eugenia Kendrick
S Main Street 116
48104 Ann Arbor
+1-888-985-5547
www.censys.com/de

Pressekontakt
Sprengel & Partner GmbH
Nico Reinicke
Nisterstraße 3
D-56472 Nisterau
+49 (0) 26 61-91 26 0-0
www.sprengel-pr.com

Dietzenbach, 21. April 2022 – Die neue Schwachstelle „Spring4Shell“ im Spring Framework macht Java-Anwendungen potenziell für Remote Code Executions (RCE) angreifbar. Die Security-Experten von Controlware unterstützen Kunden mit Compromise Assessments, Vulnerability Scans und Threat Hunting dabei, verwundbare Systeme zu lokalisieren und auf einen möglichen Befall zu untersuchen.

Spring4Shell wurde am 31. März 2022 erstmals dokumentiert, als Sicherheitslücke mit der Kennung CVE-2022-22965 versehen und mit einem kritischen CVSS Score von 9,8 bewertet. Nach aktuellem Kenntnisstand betrifft die Schwachstelle Spring MVC- und Spring WebFlux-Anwendungen, die über das Java Development Kit (JDK) 9 oder höher auf einem Apache Tomcat Webserver ausgeführt werden. Kompromittierte Systeme können dabei für gefährliche Remote Code Executions (RCE) missbraucht werden – Unternehmen sollten potenziell anfällige Umgebungen daher mit hoher Dringlichkeit auf verdächtige Prozesse, die aus Java heraus gestartet wurden, untersuchen. Als Datenquelle für diese Analyse eignen sich besonders gut die Endpoint-Telemetrie-Daten der betroffenen Systeme, zum Beispiel solche aus EDR-Lösungen.

„Spring4Shell erinnert in vielen Bereichen an Log4Shell. Die Schwachstelle betrifft zwar nicht ganz so viele Organisationen, doch das Potenzial für gefährliche Remote Code Executions ist ebenso hoch, da die Angreifer beliebigen Code einschleusen und enorme Schäden verursachen können“, warnt Benjamin Heyder, Teamlead Cyber Defense Consulting bei Controlware. „Unternehmen sollten daher schnellstmöglich prüfen, ob ihre Systeme angreifbar sind oder sogar bereits kompromittiert wurden. Dafür empfehlen wir neben Schwachstellen-Scans auch dringend die Durchführung eines individuellen Compromise Assessments.“

Compromise Assessment gibt Klarheit
Nach aktuellen Expertenschätzungen bleiben Kompromittierungen in 98,9 Prozent aller Unternehmen unbemerkt. Bei einem Compromise Assessement wird das Netzwerk eines Unternehmens inklusive aller Devices systematisch untersucht, um Anzeichen für unbefugte Zugriffe, Schadsoftware oder Sicherheitslücken zu entdecken und aktuell laufende oder kürzlich erfolgte Angriffe zu identifizieren. „Ein Compromise Assessment erkennt viele Indikatoren, die ein Intrusion Prevention System oder ein Intrusion Detection System nicht registriert“, erklärt Benjamin Heyder. „Das ermöglicht es den internen Teams, Sicherheitslücken im vorhandenen Ökosystem zuverlässig zu entdecken und Security-Investitionen fundiert zu begründen. Der Großteil unserer Kunden entscheidet sich nach einem vierwöchigen Testbetrieb dafür, das Compromise Assessement in den Regelbetrieb zu überführen – und stellt so die Weichen für einen besseren Schutz und die kontinuierliche Optimierung ihrer Security-Prozesse.“

Neben Compromise Assessments unterstützt Controlware interessierte Unternehmen auch bei externen Vulnerability Scans und beim Threat Hunting sowie bei der darauffolgenden Optimierung ihrer IT-Sicherheitsstrategie. Kontakt und zusätzliche Informationen erhalten interessierte Unternehmen unter: cdc-feedback@controlware.de

Über Controlware GmbH
Die Controlware GmbH, Dietzenbach, ist mit mehr als 800 Mitarbeitern und einem Umsatz von ca. 330 Mio. Euro einer der führenden unabhängigen Systemintegratoren und Managed Service Provider in Deutschland. Das 1980 gegründete Unternehmen entwickelt, implementiert und betreibt anspruchsvolle IT-Lösungen für die Data Center-, Enterprise- und Campus-Umgebungen seiner Kunden. Das Portfolio erstreckt sich von der Beratung und Planung über Installation und Wartung bis hin zu Management, Überwachung und Betrieb von Kundeninfrastrukturen durch das firmeneigene ISO 27001-zertifizierte Customer Service Center. Zentrale Geschäftsfelder der Controlware sind die Bereiche Network Solutions, Collaboration, Information Security, Application Delivery, Data Center & Cloud sowie IT-Management. Controlware arbeitet eng mit national und international führenden Herstellern zusammen und verfügt bei den meisten dieser Partner über den höchsten Zertifizierungsgrad. Das starke Unternehmen unterhält ein flächendeckendes Vertriebs- und Servicenetz mit 16 Standorten in DACH. Im Bereich der Nachwuchsförderung kooperiert Controlware mit renommierten deutschen Hochschulen und betreut durchgehend um die 50 Auszubildende und Studenten. Zu den Unternehmen der Controlware Gruppe zählen die Controlware GmbH, die ExperTeach GmbH, die Networkers AG und die productware GmbH.

Firmenkontakt
Controlware GmbH
Stefanie Zender
Waldstraße 92
63128 Dietzenbach
+49 6074 858-246
+49 6074 858-220
stefanie.zender@controlware.de
www.controlware.de

Pressekontakt
H zwo B Kommunikations GmbH
Michal Vitkovsky
Neue Straße 7
91088 Erlangen-Bubenreuth
+49 9131 812 81-25
+49 9131 812 81-28
michal.vitkovsky@h-zwo-b.de
www.h-zwo-b.de