CISA warnt vor aktiven Ausnutzungen in Windows, Cisco

Die U.S. Cybersecurity and Infrastructure Security Agency (CISA) hat am Montag zwei Sicherheitsanfälligkeiten, die Cisco- und Windows-Produkte betreffen, zu ihrem Katalog der bekannt ausgenutzten Sicherheitsanfälligkeiten (KEV) hinzugefügt und Organisationen vor aktiven Ausnutzungen durch böswillige Akteure gewarnt.

Die beiden unten genannten Schwachstellen, die basierend auf Beweisen von Exploit-Kampagnen zum KEV hinzugefügt wurden, sind häufige Angriffsvektoren für böswillige Cyberakteure und stellen erhebliche Risiken für Organisationen dar. Diese sind:

CVE-2023-20118 (CVSS-Score: 6.5) - Cisco Small Business RV-Serie Router Befehlseinschleusungssicherheitsschwäche:

Dieser Fehler besteht in der webbasierten Verwaltungsoberfläche der Cisco Small Business Router RV016, RV042, RV042G, RV082, RV320 und RV325.

Die Sicherheitsanfälligkeit ermöglicht es einem authentifizierten, entfernten Angreifer, beliebige Befehle auf einem betroffenen Gerät auszuführen, was auf eine unsachgemäße Validierung der Benutzereingaben innerhalb der eingehenden HTTP-Pakete zurückzuführen ist.

Diese Sicherheitsanfälligkeit kann vom Angreifer ausgenutzt werden, indem er eine speziell gestaltete HTTP-Anfrage an die webbasierte Verwaltungsoberfläche sendet.

Wenn der Angriff erfolgreich ist, könnte der Angreifer Root-Rechte erhalten und auf nicht autorisierte Daten zugreifen. Allerdings erfordert die Ausnutzung gültige administrative Anmeldeinformationen auf dem betroffenen Gerät.

CVE-2018-8639 (CVSS-Wertung: 7,8) - Microsoft Windows Win32k Unsachgemäße Ressourcenstilllegung oder -freigabe Sicherheitsanfälligkeit:

Dieser Fehler ist eine Erhöhung der Berechtigungen-Sicherheitsanfälligkeit, die in Windows auftritt, wenn die Win32k-Komponente Objekte im Speicher nicht ordnungsgemäß behandelt, auch bekannt als „Win32k Erhöhung der Berechtigungen-Sicherheitsanfälligkeit.“

Die Ausnutzung dieser Schwachstelle kann lokalen Angreifern ermöglichen, erhöhte Privilegien zu erlangen und potenziell beliebigen Code im Kernel-Modus auszuführen, wodurch sie die Kontrolle über das betroffene Windows-System übernehmen können.

Laut einer Sicherheitsberatung von Microsoft aus Dezember 2018 betrifft die CVE-2018-8639-Sicherheitsanfälligkeit Windows 7, Windows Server 2012 R2, Windows RT 8.1, Windows Server 2008, Windows Server 2019, Windows Server 2012, Windows 8.1, Windows Server 2016, Windows Server 2008 R2, Windows 10 und Windows 10-Server.

Als Reaktion auf die aktive Ausnutzung dieser Schwachstellen hat die CISA alle Bundesbehörden der zivilen Exekutive (FCEB) gemäß der verbindlichen operativen Richtlinie (BOD) 22-01 vom November 2021 verpflichtet, die Patches bis zum 24. März 2025 anzuwenden, um die identifizierten Schwachstellen zu beheben und ihre Netzwerke gegen potenzielle Bedrohungen zu schützen.

Was die CVE-2023-20118-Sicherheitsanfälligkeit betrifft, hat Cisco keinen Patch veröffentlicht, um sie zu beheben, da die betroffenen Modelle das Ende ihrer Lebensdauer (EoL) erreicht haben.

Andererseits hat Microsoft die CVE-2018-8639-Sicherheitsanfälligkeit im Dezember 2018 mit einem Microsoft Windows-Sicherheitsupdate gepatcht.

Organisationen, die diese Produkte verwenden, wird geraten, sofortige Abwehrmaßnahmen zu ergreifen, wie das Deaktivieren der Fernverwaltung, das Aktualisieren auf die neueste Firmware, das Überwachen auf ungewöhnliche Netzwerkaktivitäten, die Verwendung starker Anmeldeinformationen wie komplexen Passwörtern, das Einschränken des Zugriffs auf vertrauenswürdige Quellen und die Implementierung mehrschichtiger Verteidigungsstrategien.