Deep-Dive: Die MOVEit Zero-Day-Schwachstelle im Detail analysiert

Cyberangriffe auf die Software-Lieferkette nehmen immer weiter zu und lösen eine Flut von Gesetzesänderungen auf US-Regierungsebene aus, während Unternehmen versuchen, ihr weitreichendes Risikoprofil zu minimieren und die Softwarequalität schnell zu verbessern. Allein in diesem Jahr gab es drei Zero-Day-Schwachstellen in Zusammenhang mit File-Sharing-Diensten, wobei der MOVEit-Massen-Exploit der bisher größte und zerstörerischste war.

Der von der Ransomware-Gruppe CL0P angeführte MOVEit-Vorfall beherrscht seit einiger Zeit die Schlagzeilen der Cybersicherheit und hat mehr als 1.000 Unternehmen betroffen. Diese Zahl wird voraussichtlich weiter steigen, was diesen Angriff zu einem der folgenreichsten Angriffe auf die Software-Lieferkette seit Solarwinds im Jahr 2021 macht.

Der Auslöser für diesen weit verbreiteten Sicherheitsvorfall war eine Reihe von SQL-Injection-Schwachstellen, die von MITRE schließlich mit einem Schweregrad von 9,8 von 10 Punkten bewertet wurden. SQL-Injection ist seit den späten 90er Jahren ein ständiges Ärgernis für Sicherheitsexperten. Obwohl der Fehler relativ einfach zu beheben ist, findet er immer wieder seinen Weg in moderne Software und ebnet Angreifern den Weg zu sensiblen Daten.

Das MOVEit-Szenario unterscheidet sich ein wenig von dem, was viele Entwickler und AppSec-Profis bisher erlebt haben. Sie können Ihre Fähigkeiten bei der Abwehr von SQL-Injection direkt hier in einer Live-Simulation auf die Probe stellen:

>>> ZUR MOVEit-MISSION

Die Schwachstelle: SQL-Injection

Wie genau wurde SQL-Injection genutzt, um die MOVEit-Dateiübertragungsanwendung von Progress Software zu kompromittieren?

Die Ransomware-Gruppe CL0P konnte die SQL-Injection-Schwachstelle CVE-2023-34362 ausnutzen, was ihnen uneingeschränkten und unbefugten Zugriff auf die MOVEit-Datenbank verschaffte. Von dort aus konnten sie LEMURLOOT installieren, eine Web-Shell, die es ihnen ermöglichte, mehrere hochriskante, kritische Prozesse auszuführen, wie das Abrufen von Systemeinstellungen, das Auslesen der SQL-Datenbank, das Extrahieren von Dateien aus dem MOVEit Transfer-System und das Erstellen eines neuen Kontos mit vollen Administratorrechten.

Es versteht sich von selbst, dass dieser Angriffsvektor das Ergebnis eines relativ einfachen Fehlers sein kann – ein Fehler, der auf die ständige Verwendung schlechter Codierungsmuster zurückzuführen ist –, aber sein Potenzial, auf Unternehmensebene anhaltende Probleme zu verursachen, ist immens.

Ähnlich wie beim MOVEit-Exploit werfen wir einen Blick auf diese SQLi-Erklärung, die die Methode des Einschleusens und Ausführens von bösartigem SQL simuliert:
‍

Dieser Query-String und diese Variable:
‍

string emailAddress = "contact@scw.com";

var query = $"SELECT u.UserName From Users as u WHERE u.Email = '{emailAddress}'";

führen zu folgender Abfrage:
‍

var query = $"SELECT u.UserName From Users as u WHERE u.Email = 'contact@scw.com'";
‍

… und mit bösartig manipulierter Eingabe:
‍

string emailAddress = "contact@scw.com'; DELETE FROM Invoices WHERE Id = 2;--";

var query = $"SELECT u.UserName From Users as u WHERE u.Email = '{emailAddress}'";
‍

wird daraus:
‍

var query = $"SELECT u.UserName From Users as u WHERE u.Email = 'contact@scw.com'; DELETE FROM Invoices WHERE Id = 2;--'";
‍

Wie sieht das bei der Ausführung aus?

Beachten Sie, dass die Eingabe aufgrund der String-Verkettung als SQL-Syntax interpretiert wird. Zuerst wird ein einfaches Anführungszeichen hinzugefügt, um sicherzustellen, dass das SELECT-Statement gültige SQL-Syntax ist. Danach folgt ein Semikolon, um die erste Anweisung zu beenden.

Sobald dies geschehen ist, wird ein gültiges DELETE-Statement hinzugefügt, gefolgt von zwei Bindestrichen, um alle nachfolgenden Zeichen (das einfache Anführungszeichen) auszukommentieren. Ein UPDATE-Statement könnte genauso leicht hinzugefügt werden, falls der bösartige SQL-Code beispielsweise Benutzerrollen oder Passwörter ändern soll.
‍

Probieren Sie es selbst in dieser spielbaren Mission aus:
‍

>>> ZUR MOVEit-MISSION
‍

Obwohl SQLi relativ simpel ist, bleibt es ein mächtiger Angriffsvektor, der allzu häufig vorkommt. Im Fall von MOVEit ebnete dieser Exploit den Weg für die Installation einer schädlichen Backdoor und eine Reihe weiterer Angriffe ähnlichen Ausmaßes.

Wie können Sie das Risiko von SQL-Injection mindern?

Unternehmen, die MOVEit in ihrem Geschäftsbetrieb einsetzen, müssen unbedingt die empfohlenen Korrekturmaßnahmen von Progress Software befolgen. Dazu gehört unter anderem die Installation von Sicherheitspatches mit höchster Priorität.

Für allgemeine Informationen zu SQL-Injection lesen Sie unseren umfassenden Leitfaden.

Möchten Sie mehr darüber erfahren, wie man sicheren Code schreibt und Risiken minimiert? Testen Sie unsere kostenlose SQL-Injection-Challenge.

Wenn Sie an weiteren kostenlosen Coding-Richtlinien interessiert sind, besuchen Sie Secure Code Coach, um bei Best Practices für sicheres Programmieren auf dem Laufenden zu bleiben.