Blog

Erinnern Sie sich noch an unsere Warnungen vor dem Einsatz von VPNs? Und an die Sicherheitslücken, die alle VPNs aufweisen? Nun dies:

FBI-Warnung: Zero-Day-Schwachstelle in VPN-Software von APT-Hackern ausgenutzt.

Das FBI hat davor gewarnt, dass eine raffinierte Angreifergruppe seit Mai eine Zero-Day-Schwachstelle in einer Virtual Private Networking (VPN)-Software ausnutzt.

Nach Angaben des FBI zeigen forensische Analysen, dass die Ausnutzung der Zero-Day-Schwachstelle in der FatPipe WARP-, MPVPN- und IPVPN-Software durch eine APT-Gruppe (Advanced Persistent Threat) mindestens bis Mai 2021 zurückreicht. Weitere Informationen, wer dahintersteckt, wurden nicht veröffentlicht.

Die Schwachstelle ermöglichte es Angreifern, auf eine uneingeschränkte Datei-Upload-Funktion zuzugreifen, um eine Web-Shell für Exploit-Aktivitäten mit Root-Zugriff zu starten, was zu erhöhten Privilegien und potenziellen Folgeaktivitäten führte. “Die Ausnutzung dieser Schwachstelle diente den APT-Akteuren dann als Sprungbrett in andere Infrastrukturen”, so das FBI.

Nach Angaben des FBI betrifft die Schwachstelle alle FatPipe WARP-, MPVPN- und IPVPN-Gerätesoftware, die älter als die neuesten Versionen 10.1.2r60p93 und 10.2.2r44p1 ist.

Da in den meisten Fällen Säuberungsskripte entdeckt wurden, die die Spuren der Angreifer verwischen sollen, könne es schwierig sein, die Angriffe zu erkennen, warnte das FBI.

“Organisationen, die Aktivitäten in ihren Netzwerken feststellen, die mit diesen Anzeichen einer Kompromittierung zusammenhängen, sollten sofort handeln”, warnte das FBI.

“Das FBI rät Systemadministratoren dringend, ihre Geräte umgehend zu aktualisieren und andere Sicherheitsempfehlungen für FatPipe zu befolgen. Dazu gehört beispielsweise, den UI- und SSH-Zugriff vom WAN-Interface (nach außen) zu deaktivieren, wenn es nicht aktiv genutzt wird.

Für FatPipe gibt es ein eigenes Advisory FPSA006, in dem darauf hingewiesen wird, dass “eine Schwachstelle in der Webverwaltungsschnittstelle der FatPipe-Software es einem Angreifer ermöglichen könnte, eine Datei an einen beliebigen Speicherort im Dateisystem eines betroffenen Geräts hochzuladen”.

“Die Schwachstelle wird durch fehlende Eingabe- und Überprüfungsmechanismen für bestimmte HTTP-Anfragen auf einem betroffenen Gerät verursacht. Durch das Senden einer modifizierten HTTP-Anfrage an das betroffene Gerät könnte ein Angreifer diese Sicherheitsanfälligkeit ausnutzen”.