CVE-2023-49899: Kritisk fejl uden login i kommunikationstjek

CVE-2023-49899 er en sårbarhed, hvor en enhed ikke tjekker, hvem der reelt sender kommandoer til den. Fejltypen kaldes origin validation error og betyder, at systemet forveksler en ukendt afsender med en betroet kommunikationskanal. En angriber, der kan sende netværkstrafik til enheden, kan derfor udgive sig for at være en godkendt afsender og få enheden til at udføre kommandoer, som om de kom fra et betroet system. NVD har på offentliggørelsestidspunktet ikke navngivet det konkrete produkt eller de berørte versioner. Det betyder, at I selv skal identificere, om jeres udstyr matcher beskrivelsen, ved at kontakte leverandøren eller følge dennes sikkerhedsmeddelelser.

Sårbarheden rammer en enhed, hvor kommunikationen mellem systemer ikke bliver tjekket korrekt for afsender. Denne type fejl ses typisk i netværksudstyr, IoT-enheder, industrielle styringssystemer og administrationsgrænseflader, der er tilgængelige via netværket. Da NVD-oplysningerne ikke angiver konkret produktnavn eller versionsnummer, bør it-ansvarlige gennemgå deres udstyrsliste og krydstjekke med leverandørens sikkerhedsbulletiner for CVE-2023-49899. Er enheden tilgængelig fra internettet eller fra et internt netværk, som mange medarbejdere har adgang til, er risikoen størst.

Lykkes angrebet, kan angriberen udføre vilkårlige kommandoer på enheden uden at logge ind. I praksis betyder det, at angriberen kan overtage fuld kontrol over enheden, ændre dens konfiguration, bruge den som adgangsvej videre ind i netværket eller stoppe dens funktion helt. For en dansk virksomhed kan det betyde driftsstop på kritisk udstyr, tab af data eller at enheden bliver brugt som springbræt til angreb på andre systemer i netværket.

CVSS-score er 9,8 ud af 10, hvilket er kritisk. Angrebet kræver ikke login, kræver ingen handling fra en bruger og kan udføres over netværket med lav teknisk kompleksitet. Det gør sårbarheden let at udnytte for en angriber, der blot kan sende trafik til enheden. Der foreligger på offentliggørelsestidspunktet ingen oplysninger om, at sårbarheden aktivt bliver udnyttet, men den lave kompleksitet og manglende krav om autentificering betyder, at den bør behandles som højt prioriteret.

Følg disse trin for at reducere risikoen, mens I afklarer, om jeres udstyr er berørt.

1. Identificér, om I har udstyr eller software, der matcher beskrivelsen af sårbarheden, og kontakt leverandøren for at få bekræftet, om en opdatering findes til CVE-2023-49899.
2. Begræns netværksadgangen til den mistænkte enhed, så den kun kan tilgås fra betroede systemer, indtil en opdatering er installeret.
3. Fjern eller blokér ekstern adgang fra internettet til enhedens administrationsgrænseflade, hvis den ikke er nødvendig.
4. Overvåg netværkstrafik til og fra enheden for uventede kommandoer eller ukendte afsendere.
5. Installér leverandørens opdatering, så snart den foreligger, og verificér at kommunikationskanalen nu tjekker afsenderens oprindelse korrekt.
6. Er I i tvivl om, hvorvidt jeres udstyr er ramt, eller mangler I ressourcer til at gennemgå netværket, bør I hente ekstern hjælp til en sårbarhedsvurdering.