Die neuen OpenSSL-Schwachstellen: So schützen Sie Ihr Unternehmen

Das OpenSSL-Projekt hat zwei Sicherheitslücken angekündigt, die als CVE-2022-3602 und CVE-2022-3786 verfolgt werden. Die gute Nachricht ist, dass diese Schwachstellen die Remote-Codeausführung wahrscheinlich nicht wie ursprünglich erwartet erleichtern werden und nur OpenSSL Version 3.0.0 und höher betroffen sind. Die schlechte Nachricht ist jedoch, dass die Fernbedienung zwar unwahrscheinlich ist, aber immer noch möglich ist.

Lesen Sie weiter, um zu erfahren, wie Sie Ihr Ökosystem und Ihre Drittanbieter davor schützen können, Opfer einer Datenschutzverletzung oder eines Ransomware-Angriffs durch diese OpenSSL-Schwachstellen zu werden.

Was sind die OpenSSL-Schwachstellen?

Das OpenSSL-Projekt hat zwei Sicherheitslücken bekannt gegeben, die OpenSSL Version 3.0.0 bis Version 3.0.6 betreffen, wobei Version 3.0.7 die kritischen Sicherheitskorrekturen für diese Sicherheitslücken enthält.

• CVE-2022-3602 - Dies ist ein willkürlicher 4-Byte-Stack-Pufferüberlauf. Die Ausnutzung kann zu Systemabstürzen und Remote Code Injection (RCE) führen.
• CVE-2022-3786 - Diese Schwachstelle kann auch ausgenutzt werden, um einen Pufferüberlauf zu beeinflussen und einen Denial-of-Service-Angriff auszulösen.

Erfahren Sie mehr über Sicherheitslücken >

Wie können diese Schwachstellen ausgenutzt werden?

Beide Schwachstellen können ausgenutzt werden, wenn folgende Voraussetzungen erfüllt sind:

1. Ein X.509-Zertifikat ist vertrauenswürdig und wird vom Server oder Client akzeptiert
2. Eine E-Mail-Adresse, die im bestandenen Zertifikat gespeichert ist, wird geändert, um den Exploit zu übermitteln.

Beide Szenarien können im besten Fall zu einem Denial-of-Service-Angriff (DoS-Angriff) und im schlimmsten Fall zu einer Remote Code Injection (RCE) führen.

Trotz der Herabstufung von einer kritischen Bewertung stellen diese OpenSSL-Schwachstellen immer noch ein erhebliches Sicherheitsrisiko dar. Die Cybersicherheitsanalysten von UpGuard haben über 10.000 Websites entdeckt, auf denen anfällige Versionen von OpenSSL ausgeführt werden.

Die Open SSL-Schwachstellen könnten das Einschleusen von Malware erleichtern, was bedeutet, dass jede Website, auf der eine anfällige Version ausgeführt wird, möglicherweise eine Datenschutzverletzung oder einen Ransomware-Angriff erleiden könnte.

Jede Website, auf der eine anfällige Version von OpenSSL ausgeführt wird, riskiert, eine Datenschutzverletzung oder einen Ransomware-Angriff zu erleiden.

Wer ist von den OpenSSL-Schwachstellen betroffen?

Die beiden OpenSSL-Schwachstellen (CVE-2022-3602 und CVE-2022-3786) betreffen die Versionen 3.0.0 bis 3.0.6, wobei OpenSSL 3.0.7 die Sicherheitsfixes für diese Schwachstellen enthält.

OpenSSL-Versionen vor 3.0.0 sind davon nicht betroffen.

Wenn ein sofortiges Upgrade auf die gepatchte Version von OpenSSL nicht möglich ist, können die Auswirkungen durch Deaktivieren der TLS-Clientauthentifizierung (wenn Sie über TLS-Server verfügen) gemildert werden, bis Sicherheitsfixes angewendet werden können.

So erkennen Sie anfällige OpenSSL-Versionen in Ihrem Ökosystem

Eine anfällige Version von OpenSSL kann sich auf drei Arten auf Ihr IT-Ökosystem auswirken:

1. Auf Systemebene

Instanzen auf Systemebene sind am einfachsten zu erkennen. Führen Sie dazu den folgenden Befehl aus und prüfen Sie, ob auf Ihrem System eine Version innerhalb des anfälligen Bereichs (3.0.0 - 3.0.6) ausgeführt wird

% OpenSSL-Version

2. Wird von Software über Dynamic Linking verwendet

In diesem Szenario könnte Ihr System von anfälliger Software von Drittanbietern betroffen sein. Sie können feststellen, ob eine Lösung eine anfällige Version von OpenSSL ausführt, indem Sie die OpenSSL-Bibliothek (eine DLL-Datei unter Windows und eine SO-Datei unter Linux) scannen.

Die folgenden Scanner von Github können für jedes Betriebssystem verwendet werden.

• Fenster
• Linux (Englisch)

Der obige OpenSSL-Versionsbefehl könnte auch für dieses Szenario funktionieren.

3. Auf einer statisch verknüpften Ebene

Dieses Ausmaß der Auswirkungen ist am schwierigsten zu erkennen. Statisch verknüpfte Software kompiliert alle Open SSL-Bibliotheken in der ausführbaren Hauptsoftware. Es gibt zwei Methoden, um zu bestätigen, ob Ihr Unternehmen auf dieser Ebene betroffen ist:

1. Vergleichen Sie Ihre Anbieterliste mit einer Liste nicht betroffener Softwarelösungen - siehe dieses Beispiel von GitHub
2. Wenden Sie sich an alle Ihre Softwareanbieter, um ihre Anfälligkeit für diese Art von Schwachstelle zu bestätigen (siehe unten für Empfehlungen, wie Sie OpenSSL-Sicherheitsrisiken gemeinsam mit Drittanbietern angehen können)

So schützen Sie Ihre Drittanbieter vor diesen OpenSSL-Schwachstellen

Das Erkennen und Beheben neuer Schwachstellen wie dieser ist für die Angriffsfläche von Drittanbietern am frustrierendsten. Der folgende Prozess wird dazu beitragen, diese Bemühungen zu vereinfachen.

1. Identifizieren Sie alle potenziell betroffenen Anbieter

Anbieter könnten von Domains betroffen sein, auf denen anfällige Versionen von OpenSSL ausgeführt werden, oder von Software, auf der anfällige OpenSSL-Bibliotheken ausgeführt werden. Das erste Risiko ist viel leichter zu erkennen. Dies kann mit dem Schwachstellenscanner von UpGuard erfolgen.

UpGuard kann schnell bestätigen, ob Ihr Unternehmen von Domains betroffen ist, auf denen anfällige Versionen von OpenSSL ausgeführt werden.

Sehen Sie den OpenSSL-Schwachstellenscanner von UpGuard in Aktion >

Anfällige Software von Drittanbietern ist schwieriger zu bestätigen, insbesondere wenn Sie mit einer großen Anzahl von Anbietern arbeiten. Um die oben beschriebenen Scan-Methoden zu beschleunigen, senden Sie einen Sicherheitsfragebogen an alle Ihre Anbieter, um sie aufzufordern, ihre eigene Software auf diese OpenSSL-Schwachstellen zu überprüfen.

Ein Fragebogen, der auf diese neuen OpenSSL-Risiken zugeschnitten ist, kann mit dem benutzerdefinierten Fragebogen-Builder von UpGuard einfach erstellt werden.

Erfahren Sie mehr über den benutzerdefinierten Fragebogen-Builder von UpGuard >

2. Zuweisen von Eigentümern für alle betroffenen Assets

Die Kombination aus Ergebnissen von Sicherheitsscans und Fragebogenantworten ermöglicht es Ihnen, die Auswirkungen dieser Schwachstellen auf Ihr Unternehmen abzubilden. Weisen Sie für jede betroffene Ressource einen Besitzer zu, der die Verantwortung für die Behebung übernimmt.

3. Priorisieren Sie die am stärksten gefährdeten Vermögenswerte

Die Behebung kritischer Ressourcen - mit dem Internet verbundene Ressourcen und Ressourcen, die vertraulichen Ressourcen zugeordnet werden - sollte Vorrang haben. Eine Vendor-Tiering-Strategie erleichtert die Priorisierung kritischer Drittanbieter erheblich.

Erfahren Sie mehr über Vendor Tiering >

UpGuard bietet eine Vielzahl von Funktionen, mit denen Sie den gesamten Cybersicherheitslebenszyklus der beiden neuen Schwachstellen von OpenSSL verwalten können:

• Ein Schwachstellen-Scanner - Bestätigen Sie schnell, ob Ihr Unternehmen von Domains betroffen ist, auf denen anfällige Versionen von OpenSSL ausgeführt werden.
• Benutzerdefinierter Fragebogen-Builder - Erstellen Sie einen benutzerdefinierten Fragebogen, der speziell auf diese neuen OpenSSL-Sicherheitsrisiken zugeschnitten ist, um die Auswirkungen von Drittanbietern zu bewerten.
• Behebungsplaner - Priorisieren Sie die Behebung aller kritischen Ressourcen und verfolgen Sie sofort die Auswirkungen dieser Bemühungen auf die Sicherheitsbewertungen der einzelnen Anbieter.