Deep-Dive: Die MOVEit-Zero-Day-Sicherheitslücke hautnah

Cyberangriffe auf Softwarelieferketten werden immer häufiger und lösen eine Flut von Gesetzesänderungen auf der Ebene der US-Regierung aus, während Unternehmen versuchen, ihr umfangreiches Risikoprofil zu mindern und die Softwarequalität schnell zu verbessern. Allein in diesem Jahr gab es drei Zero-Day-Sicherheitslücken im Zusammenhang mit Filesharing-Diensten. Die größte und zerstörerischste war der MOVEit-Massenexploit.

Der MOVEit-Vorfall, der von der CL0P-Ransomware-Gruppe angeführt wird, dominiert seit einiger Zeit die Nachrichten über Cybersicherheit. Mehr als 1.000 Unternehmen waren betroffen. Diese Zahl wird voraussichtlich weiter steigen, was dies zu einem der stärksten Angriffe auf die Softwarelieferkette seit Solarwinds im Jahr 2021 macht.

Auslöser für diese weit verbreitete Sicherheitslücke war eine Ansammlung von SQL-Injection-Schwachstellen, die letztlich einen Schweregrad von 9,8 von 10 von MITRE. SQL-Injection ist seit Ende der 90er Jahre der Nerv der Sicherheitsexperten. Obwohl es sich um eine relativ einfache Lösung handelt, findet sie immer noch ihren Weg in moderne Software und bietet Bedrohungsakteuren einen roten Teppich vor sensiblen Daten.

Das MOVEit-Szenario unterscheidet sich ein wenig von dem, was viele Entwickler und AppSec-Experten möglicherweise zuvor erlebt haben. Sie können Ihre SQLI-Slaying-Fähigkeiten hier in einer Live-Simulation testen:

>>> SPIELE DIE MOVEit-MISSION

Die Sicherheitslücke: SQL Injection

Wie genau wurde die SQL-Injektion verwendet, um die MOVEit-Dateiübertragungsanwendung von Progress Software auszunutzen?

Die CL0P-Ransomware-Gruppe konnte die SQL-Injection-Schwachstelle CVE-2023-34362 ausnutzen und ihnen uneingeschränkten und unbefugten Zugriff auf die MOVEit-Datenbank gewähren. Von dort aus konnten sie LEMURLOOT installieren, eine Webshell, die es ihnen letztendlich ermöglichen würde, mehrere riskante, kritische Prozesse wie das Abrufen von Systemeinstellungen, das Auflisten der SQL-Datenbank, das Abrufen von Dateien aus dem MOVEit Transfer-System und das Erstellen eines neuen Kontos mit vollen Administratorrechten auszuführen.

Es versteht sich von selbst, dass dieser Angriffsvektor das Ergebnis eines relativ einfachen Fehlers sein kann — einer, der auf die fortwährende Verwendung schlechter Codierungsmuster zurückgeführt werden könnte —, aber sein Potenzial, auf Unternehmensebene zu anhaltenden Problemen zu führen, ist immens.

Vergleichbar mit dem MoveIT-Exploit werfen wir einen Blick auf diesen SQLi-Erklärer, der die Methode des Injizierens und Ausführens von bösartigem SQL simuliert:
‍

Diese Abfragezeichenfolge und Variable:
‍

Zeichenfolge EmailAddress =“contact@scw.com„;

var query = $"SELECT u.UserName From Users as u WHERE u.email = '{emailAddress}'“;

wird zu der folgenden Abfrage führen:
‍

var query = $"SELECT u.USERNAME From Users as u WHERE u.email = 'contact@scw.com'“;
‍

... und mit bösartig gestalteter Eingabe:
‍

string emailAddress = "contact@scw.com '; AUS Rechnungen LÖSCHEN WO ID = 2; --“;

var query = $"SELECT u.UserName From Users as u WHERE u.email = '{emailAddress}'“;
‍

es wird werden:
‍

var query = $"SELECT u.USERNAME From Users as u WHERE u.email = 'contact@scw.com'; AUS RECHNUNGEN LÖSCHEN WHERE Id = 2; --'“;
‍

Wie sieht das im Flug aus?

Beachten Sie, dass die Eingabe aufgrund der Zeichenkettenverkettung als SQL-Syntax interpretiert wird. Zuerst wird ein einfaches Anführungszeichen hinzugefügt, um sicherzustellen, dass es sich bei der SELECT-Anweisung um eine gültige SQL-Syntax handelt. Als Nächstes wird ein Semikolon hinzugefügt, um die erste Anweisung zu beenden.

Sobald dies erfolgt ist, wird eine gültige DELETE-Anweisung hinzugefügt, gefolgt von zwei Bindestrichen, um alle nachfolgenden Zeichen (das einfache Anführungszeichen) auszukommentieren. Eine UPDATE-Anweisung könnte genauso einfach hinzugefügt werden, zum Beispiel, wenn das bösartige SQL die Rollen oder Passwörter der Benutzer aktualisieren sollte.
‍

Probiere es selbst in dieser spielbaren Mission aus:
‍

>>> SPIELE DIE MOVEit-MISSION
‍

SQLi ist zwar relativ einfach, aber nach wie vor ein mächtiger Angriffsvektor, der nur allzu häufig vorkommt. Im Fall von MOVEit machte dieser Exploit einer schädlichen Backdoor-Installation und einer Gruppe weiterer Angriffe ähnlicher Schwere Platz.

Wie können Sie das SQL-Injection-Risiko mindern?

Für alle Unternehmen, die MOVEit als Teil ihres Geschäftsbetriebs einsetzen, ist es unerlässlich, dass sie die empfohlenen Abhilfemaßnahmen von befolgen Fortschrittssoftware. Dies beinhaltet, ist aber nicht beschränkt auf die Installation von Sicherheitspatches als Priorität für Notfälle.

Informationen zur SQL-Injection im Allgemeinen finden Sie in unserer umfassender Leitfaden.

Möchten Sie mehr darüber erfahren, wie Sie sicheren Code schreiben und Risiken mindern können? Testen Sie unsere Kostenlose SQL-Injection-Herausforderung.

Wenn du an weiteren kostenlosen Codierungsrichtlinien interessiert bist, schau dir das an Sicherer Code-Coach um Ihnen zu helfen, den Überblick über die Best Practices für sichere Codierung zu behalten.