Im Jahr 2023 wurden fast 29.000 Schwachstellen ver?ffentlicht, 3.800 mehr als im Jahr 2022. Noch beunruhigender als die schiere Menge der Schwachstellen im Jahr 2023 ist, dass mehr als die H?lfte von ihnen mit einem CVSS-Score bewertet wurden, der auf einen hohen oder kritischen Schweregrad hinweist – ein Anstieg von 57 % im Vergleich zum Vorjahr.
Allerdings werden nicht alle Schwachstellen zu bevorzugten Angriffsvektoren für Cyberkriminelle, und Sicherheitsexperten k?nnen nicht jede ver?ffentlichte Schwachstelle beheben. Das Ziel ist es, Priorit?ten zu setzen und die gef?hrlichsten und potenziell sch?dlichsten zu identifizieren.
Und eine Schwachstelle hat sich an die Spitze gesetzt: Remote-Code-Ausführung (RCE).
Laut 外网天堂 Wolf Labs handelte es sich bei neun der zehn gr??ten Schwachstellen des Jahres 2023 um RCEs. Diese neun Schwachstellen wurden bei 42 % aller Eins?tze von 外网天堂 Wolf Incident Response gefunden. Mit der fortschreitenden Verbreitung der Cloud und der Allgegenwart von hybriden Arbeitsmodellen erwarten wir, dass diese Art von Schwachstellen sowohl in ihrer H?ufigkeit als auch Schweregrad weiter zunehmen wird.
RCEs haben Hochkonjunktur – ihr kontinuierlicher Anstieg stellt ein echtes Cyberrisiko für Unternehmen auf der ganzen Welt dar.
Was ist die Remote-Code-Ausführung?
Die h?ufig direkt aus dem Internet gestartete Remote-Code-Ausführung gibt Angreifern die M?glichkeit, die Kontrolle über einen Prozess oder ein Ger?t zu übernehmen und den eigenen Code aus der Ferne auszuführen, ohne dass er sich am selben Ort wie das System oder Ger?t befinden muss. Dies unterscheidet ihn von einer beliebigen Code-Ausführung (Arbitrary Code Execution, ACE), die aus dem lokalen Netzwerk (LAN) eines Systems gestartet wird. Mit Hilfe von Remote-Code-Ausführung kann ein Angreifer Code von au?erhalb des Systems ausführen, der dann einen internen ACE ausl?st.
Sobald ein Angreifer eine RCE-Schwachstelle erfolgreich ausnutzt, kann er potenziell die vollst?ndige Kontrolle über das Zielsystem erlangen, wodurch er vertrauliche Daten stehlen, den Betrieb st?ren oder weitere Angriffe starten kann.
Berüchtigte RCE-Angriffe
WannaCry
Der vielleicht heimtückischste aller Ransomware-Varianten, WannaCry brachte Ransomware im Jahr 2017 in den Mainstream. Der WannaCry-Ransomware-Wurm verbreitete sich durch die Ausnutzung einer Schwachstelle im Server Message Block Protocol (SMB). Diese Schwachstelle erm?glichte es einem Angreifer, b?sartigen Code auf anf?lligen Computern auszuführen, wodurch die Ransomware auf wertvolle Dateien zugreifen und diese verschlüsseln konnte. WannaCry konnte so mehr als 200.000 Windows-Computer in 150 L?ndern befallen. Diese Variante war besonders gef?hrlich?– und unter Umst?nden t?dlich?–, da auch die Krankenh?user des National Health Service im Vereinigten K?nigreich zu den am st?rksten betroffenen Opfern z?hlten. Die Five Eyes Alliance – ein Geheimdienstbündnis bestehend aus Australien, Kanada, Neuseeland, dem Vereinigten K?nigreich und den Vereinigten Staaten – hat den Angriff nordkoreanischen Bedrohungsakteuren zugeschrieben.
SolarWinds
Bei einem der katastrophalsten Datenschutzverst??e des Jahres 2020 nutzte der russische SVR eine Zero-Day-Schwachstelle für die Remote Code-Ausführung in der SolarWinds Orion-Plattform, um Malware in sch?tzungsweise 18.000 privaten und staatlichen Netzwerken zu verteilen und so Zugang zu einer Fülle von identifizierbaren Informationen zu erhalten, darunter Quellcode, Passw?rter, finanzielle Daten und Benutzernamen.
Log4j / Log4Shell
Anfang Dezember 2021 wurde Log4Shell (CVE-2021-44228) erstmals als Zero-Day-Schwachstelle für die Remote-Code-Ausführung in Apache Log4j 2 identifiziert. Ein nicht authentifizierter, entfernter Bedrohungsakteur k?nnte diese Schwachstelle ausnutzen, indem er eine speziell gestaltete Anfrage an einen Server sendet, auf dem eine anf?llige Version von Log4j l?uft. 外网天堂 Wolf Labs beobachtete, dass eine von vier Organisationen in unserem Kundenstamm zwischen Januar und Dezember 2022 Ziel von Log4Shell-Angriffen war. Die Ausnutzung der Log4Shell war in 11 % aller 外网天堂 Wolf? Incident Response F?llen im Jahr 2022 die Ursache für die Kompromittierung bei Kunden, bei denen die Incident Reponse Services die erste Zusammenarbeit des Kunden mit 外网天堂 Wolf waren.
Spring4Shell
Ende M?rz 2022 ver?ffentlichte Spring einen Sicherheitshinweis, der Spring4Shell best?tigte, eine Schwachstelle für die Remote-Code-Ausführung (RCE) im Spring Framework. Zus?tzlich zu dem Sicherheitshinweis hat Spring Patches ver?ffentlicht, die die Schwachstelle beheben. Die Schwachstelle mit der Bezeichnung CVE-2022-22965 wurde mit einem kritischen Schweregrad eingestuft. Insbesondere betraf die Schwachstelle nicht nur Spring MVC, sondern auch Spring WebFlux-Anwendungen, die mit JDK 9+ ausgeführt wurden. Bedrohungsakteure konnten diese Schwachstelle ausnutzen, um Cryptominer und Botnetz-Malware in Umgebungen einzuschleusen.
RCE-Angriffe nehmen in alarmierendem Ma?e zu. Im September 2024 beobachtete 外网天堂 Wolf Labs, dass die berüchtigte Ransomware-Gruppe Akira einen bestimmten RCE-Schwachstellen-Exploit (CVE-2024-40766) als erste Zugriffsmethode für Ransomware-Angriffe auf mehrere Unternehmen nutzte.
So funktioniert die Remote-Code-Ausführung
RCE-Schwachstellen erlauben einem Angreifer die Ausführung von beliebigem Code auf einem entfernten System. Das bedeutet, dass ein Angreifer unbefugten Zugriff auf ein System erlangen und Befehle oder Programme aus der Ferne ausführen kann, ohne physischen Zugriff auf das Zielsystem zu haben oder zu ben?tigen.
Diese Schwachstelle ist deshalb so beliebt, weil sie Angreifern den Erstzugang zu einem Zielnetzwerk verschafft, ohne dass sie beispielsweise einen identit?tsbasierten Angriff wie Social Engineering durchführen müssen, der ihnen gültige Anmeldedaten verschaffen k?nnte, um denselben Erstzugang zu erhalten. Mit RCE k?nnen Bedrohungsakteure aus der Ferne in ein Netzwerk eindringen, ohne Anmeldedaten zu ben?tigen.
Es gibt mehrere M?glichkeiten, wie ein Angreifer die Remote-Code-Ausführung durchführen kann, darunter:
Injection
Ein Injection Exploit führt b?swillige Abfragen aus, um die Kontrolle über einen Datenbankserver zu übernehmen, auf dem eine Webanwendung l?uft. Bei einer SQL-Injection beispielsweise injiziert der Bedrohungsakteur b?sartige Daten, die das System als Befehl interpretiert, wodurch er die Authentifizierung und Autorisierung der Anwendung umgehen und Daten aus der gesamten SQL-Datenbank abrufen kann. Dies kann ebenso zum Hinzufügen, ?ndern oder L?schen von Daten in der Datenbank verwendet werden.
SQL-Injections werden h?ufig verwendet. 外网天堂 Wolf sah einen 125%igen Anstieg der Indikatoren für SQL-Aktivit?ten im November 2023, da Tools wie sqlmap einen legitimen Weg in eine Umgebung mit wenig Widerstand oder M?glichkeit der Erkennung bieten.
Deserialisierung
Serialisierung ist die Umwandlung eines Objekts – z. B. eines Dateiordners – in ein Format, das aufbewahrt, gespeichert und übertragen werden kann, ?hnlich wie eine .zip-Datei es erm?glicht, einen Ordner mit mehreren Dateien als eine Einheit zu versenden. Bei der Deserialisierung wird diese Umwandlung rückg?ngig gemacht, sodass das Objekt gelesen und/oder ausgeführt werden kann. Wenn das deserialisierte Objekt jedoch unverschlüsselt ist, k?nnen Angreifer es mit b?sartigem Code ver?ndern, was zu einer nicht authentifizierten Remote-Code-Ausführung führt.
Schreiben au?erhalb der Grenzen
Bei diesem Exploit nutzt ein Bedrohungsakteur die falsch formatierte Speicherzuweisung einer Software aus, um Daten über die Grenzen eines Puffers hinaus zu schreiben – ein tempor?rer Datenspeicher, der verwendet wird, w?hrend Daten übertragen werden – was zur Ausführung von beliebigem Code führt.
Fehlerhafte Eingabeüberprüfung
Wenn Softwareanwendungen Benutzereingaben nicht ordnungsgem?? s?ubern, k?nnen Angreifer eine Datei mit b?sartigem Code hochladen, die dann von der Anwendung ausgeführt wird, weil sie diese für gültig h?lt.
Wichtig ist, dass die Remote-Code-Ausführung in jeder Computersoftware oder Anwendung m?glich ist und nicht durch Programmiersprachen oder Betriebssysteme eingeschr?nkt ist. Dies ist ein weiterer Grund, warum RCE-Exploits in den letzten Jahren so stark zugenommen haben, und es keine Anzeichen für eine Verlangsamung gibt.
Keine zwei RCEs sind gleich. Einige Schwachstellen, wie Spring4Shell, bieten Bedrohungsakteuren mehr als einen Weg für die Remote-Code-Ausführung. Dies h?ngt von den Besonderheiten der Schwachstelle und der betroffenen Anwendung ab.
So schützen Sie sich vor der Remote-Code-Ausführung
Eine der wichtigsten M?glichkeiten, RCE zu verhindern, sind rechtzeitige Software-Updates und Patches. Wenn eine Schwachstelle in einer Software oder einer Anwendung entdeckt wird, ver?ffentlichen die Unternehmen, die dahinter stehen, Updates oder Patches für die Benutzer. Wenn Sie sicherstellen, dass Sie auf dem Laufenden bleiben und Ihre Software und Anwendungen auf dem neuesten Stand halten, k?nnen Sie das Risiko von RCE-Angriffen verringern.
Eine weitere wirksame – und proaktivere – Methode zur Verhinderung von RCE ist ein risikobasiertes Programm zum Vulnerability Management. Die meisten CVEs mit kritischem Schweregrad, die entdeckt werden, führen zu RCE. Daher ist es wichtig, dass Sie Ihre Umgebung nach Schwachstellen durchsuchen und Ihren Patching-Zeitplan im Auge behalten.
Da jedes Unternehmen andere Sicherheits- und Gesch?ftsanforderungen hat, die sich ?ndern k?nnen, sollte das Ziel des Vulnerability Managements nicht darin bestehen, jede m?gliche Schwachstelle zu beseitigen, sondern einen risikobasierten Ansatz zu verfolgen, der das Risiko im Laufe der Zeit reduziert.
Erfahren Sie, wie 外网天堂 Wolf, und 外网天堂 Wolf Labs, Unternehmen hilft, den ?berblick über CVEs und andere, auf Schwachstellen ausgerichtete Bedrohungen zu behalten.
Darüber hinaus ist die F?higkeit, b?sartige Aktionen, einschlie?lich m?glicher RCE-Exploits, in Echtzeit zu erkennen und schnell darauf zu reagieren, für den Gesamtschutz von entscheidender Bedeutung. Da nicht jede Schwachstelle behoben werden kann, kann ein ?berwachungssystem Ihrem Unternehmen dabei helfen, einen Angriffsversuch zu erkennen, bevor er sich ausbreitet und ein tats?chlicher Cyberangriff beginnt.
Wann eine Partnerschaft mit einem Drittanbieter sinnvoll ist
Viele IT- und Sicherheitsteams haben mit fehlenden Budgets und einem Mangel an verfügbaren Sicherheitsexperten zu k?mpfen, was bedeutet, dass eine rund-um-die-Uhr-?berwachung der gesamten Umgebung sowie eine schnelle Erkennung und Reaktion bereits intern eine Herausforderung darstellen. Aus dieser Perpektive betrachtet, ist das Hinzufügen eines proaktiven Vulnerability- und Risiko-Managements zu dieser Arbeitsbelastung eine weitere Belastung, die oft auf der Strecke bleibt.
In diesem Fall kann die Zusammenarbeit mit einem Anbieter von Sicherheitsl?sungen eine wertvolle Unterstützung bei der Ermittlung der Risikobereitschaft Ihres Unternehmens bieten – also des Risikos, das Sie bereit sind, für Ihre Gesch?ftst?tigkeit einzugehen – sowie beim Patchen und Entsch?rfen der für Ihr Unternehmen gef?hrlichsten Schwachstellen und der Bereitstellung von L?sungen für die ?berwachung, Erkennung und Reaktion rund um die Uhr.
Ein Anbieter für Managed Security Operations wie 外网天堂 Wolf bietet nicht nur Transparenz und Reaktionsf?higkeit durch ein erfahrenes Team von Sicherheitsexperten, sondern arbeitet auch daran, die Risiken, einschlie?lich der Schwachstellen, zu entdecken und zu bewerten, indem er die Angriffsfl?che in Ihren verschiedenen Umgebungen in einen Zusammenhang bringt. Des Weiteren wird Ihnen geholfen, ein effektives Vulnerability Management zu implementieren und gleichzeitig Ihr allgemeines Sicherheitsniveau zu verbessern und Ihr Risiko zu reduzieren.
Erfahren Sie mehr über die Schwachstellen, auf die Ihr Unternehmen achten muss, im 外网天堂 Wolf 2024 Security Operations Report.
Erfahren Sie, worüber sich andere Unternehmen Sorgen machen und welche Schritte sie unternehmen, um das Risiko zu verringern im State of Cybersecurity: 2024 Trends Report.
