CVE-2023-54405: Kritisk filupload-fejl i H3C CAS/CVM
Uautoriseret filupload i H3C CAS/CVM (CVE-2023-54405) giver fjernudførelse af kode. Isolér endpoint og kontakt H3C nu.
Hvad er det?
CVE-2023-54405 er en sårbarhed i CVM, Cloud Virtualization Management-komponenten i H3C’s virtualiseringsplatform CAS. Fejlen sidder i endpointet /cas/fileUpload/upload, hvor systemet ikke kontrollerer, om en bruger er logget ind, og ikke tjekker, hvilken type fil der uploades eller hvor den lander. Ved at manipulere en parameter kaldet token kan en angriber udnytte path traversal, altså springe ud af den tiltænkte mappe, og placere en ondsindet JSP-fil et sted, hvor webserveren kan tilgå og udføre den. Når filen tilgås, kører koden med webserverens rettigheder, hvilket i praksis betyder fuld fjernudførelse af kode på serveren.
Hvem rammer det?
Sårbarheden rammer organisationer, der driver H3C CAS cloud-platformen med CVM-komponenten installeret, og hvor fileUpload-endpointet er tilgængeligt fra internettet eller fra et bredere internt netværk. Det gælder typisk virksomheder og kommuner med eget datacenter eller virtualiseringsmiljø baseret på H3C-udstyr, herunder dem der driver interne skyløsninger til virtuelle maskiner og servere.
Hvad kan ske?
En angriber kan uploade en skadelig fil og dermed få kontrol over den server, der kører CVM-komponenten. Da platformen styrer virtuelle maskiner, kan en vellykket udnyttelse give adgang til hele virtualiseringsmiljøet, herunder andre virtuelle servere, data og netværksadgang. For en dansk virksomhed betyder det risiko for datatyveri, afbrydelse af drift på tværs af flere systemer samtidig, og i værste fald udrulning af gidselsoftware i hele virtualiseringsmiljøet.
Hvor alvorligt er det?
CVSS-scoren er 9,8 ud af 10, kritisk. Angrebet kræver ingen login og ingen handling fra en bruger, og det kan udføres over netværket med lav teknisk kompleksitet. Shadowserver Foundation har observeret konkrete tegn på udnyttelse af sårbarheden, så det er ikke kun en teoretisk risiko. Alle tre konsekvenstyper, fortrolighed, integritet og tilgængelighed, er vurderet til høj påvirkning.
Hvad gør jeg nu?
Følg punkterne i rækkefølge. Det første lukker den akutte adgangsvej.
- Blokér adgang til /cas/fileUpload/upload fra internettet via firewall eller omvendt proxy, så endpointet kun kan tilgås fra betroede interne adresser, hvis overhovedet.
- Kontakt H3C for at få bekræftet, om der findes en officiel opdatering til jeres version af CAS og CVM, og installer den så snart den foreligger.
- Gennemgå logfiler for upload-aktivitet og se efter uventede filer, især .jsp-filer, i webtilgængelige mapper.
- Find og fjern eventuelle ondsindede filer, og genstart berørte tjenester for at bryde en etableret adgang.
- Isolér servere, hvor I finder spor af kompromittering, fra resten af netværket indtil de er fuldt undersøgt og renset.
- Hvis I ikke selv har kapacitet til at undersøge logs eller rense systemet, så få hjælp fra en sikkerhedsspecialist, allerede inden I finder konkrete spor.
Isolér endpoint inden for 24 timer
Vi anbefaler, at I straks begrænser netværksadgangen til fileUpload-endpointet og kontakter H3C for status på en opdatering, da sårbarheden allerede udnyttes i praksis. Det er kun forsvarligt at vente, hvis CVM-komponenten udelukkende er tilgængelig fra et stærkt begrænset internt netværk uden adgang udefra. Er I i tvivl om jeres eksponering, bør I få en ekstern vurdering frem for at antage, at I er beskyttet.
Tidslinje
Konkrete eksempler
Kommune med eget virtualiseringsmiljø
En dansk kommune driver sine interne IT-systemer på en H3C CAS-platform, hvor administrationsgrænsefladen ved en fejl er tilgængelig fra internettet gennem en forkert konfigureret firewall-regel. En angriber finder fileUpload-endpointet, uploader en skadelig fil og får adgang til at styre flere virtuelle servere, herunder systemer med borgerdata. Kommunen opdager først hændelsen, da drift af flere fagsystemer går ned samtidig.
Ofte stillede spørgsmål
Hvordan ved vi, om vi bruger den ramte komponent?
Tjek om jeres virtualiseringsmiljø kører H3C CAS cloud-platformen med CVM-komponenten, og om endpointet /cas/fileUpload/upload findes og svarer på forespørgsler. Er I i tvivl, kan jeres driftsleverandør eller en sikkerhedsspecialist afklare det hurtigt.
Kan vi vente til weekenden med at lukke hullet?
Nej. Shadowserver Foundation har allerede set aktiv udnyttelse af denne sårbarhed, så eksponerede systemer bør afskærmes samme dag, I bliver opmærksomme på problemet.
Findes der en officiel opdatering fra H3C?
Der er ikke dokumenteret en offentligt tilgængelig opdatering på tidspunktet for denne vejledning. Kontakt H3C direkte for seneste status på jeres produktversion.
Hvad gør vi, hvis vi finder tegn på, at nogen allerede har udnyttet sårbarheden?
Isolér den berørte server fra netværket, bevar logfiler til senere undersøgelse, og kontakt en sikkerhedsspecialist for at få kortlagt omfanget, før systemet sættes i drift igen.
Skal vi anmelde hændelsen, hvis vi er ramt?
Hvis sårbarheden har ført til et faktisk databrud, kan I være forpligtet til at anmelde det til Datatilsynet inden for 72 timer efter databeskyttelsesreglerne. Vurdér konkret omfang med jeres juridiske og tekniske rådgivere.
Er det nok at begrænse adgangen til endpointet, eller skal vi gøre mere?
Begrænsning af adgang reducerer risikoen akut, men løser ikke selve fejlen i softwaren. I bør stadig arbejde videre med at få en officiel rettelse installeret og undersøge, om systemet allerede er blevet kompromitteret.
CVSS-detaljer
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
CWE-svaghedstyper
Original NVD-beskrivelse (engelsk)
H3C CVM, the Cloud Virtualization Management component of the H3C CAS cloud platform, contains an unauthenticated arbitrary file upload vulnerability in the /cas/fileUpload/upload endpoint that allows remote attackers to write arbitrary files by manipulating the caller-supplied token parameter without restricting path traversal or file type. Attackers can exploit the path traversal in the token parameter to upload a malicious JSP file into a web-accessible directory and then request it to achieve remote code execution as the web-server user. Exploitation evidence was first observed by the Shadowserver Foundation on 2023-10-14.
Referencer & kilder
Eksterne kilder
Brug for hjælp med jeres sikkerhed?
Vi hjælper SMV’er med at omsætte trusler som denne til konkrete handlingsplaner.