Sicherheitswarnung – ADSelfService Plus Schwachstelle durch Umgehen der Authentifizierung

CVE-code.: CVE-2021-40539

Schweregrad.: Kritisch

Betroffene Versionen.: ADSelfService Plus bis zum Build 6113

Korrektur: ADSelfService Plus Build 6114 (07.09.2021)

Diese Seite enthält Details über die Schwachstelle sowie einen Plan zur Vorfallreaktion, falls Ihr System betroffen ist. Weitere Informationen zu den neuesten Updates und zur Timeline der Schwachstelle finden Sie hier. Sie haben Fragen zu dieser Schwachstelle? Sehen Sie sich unsere detaillierte FAQ-Seite an. Außerdem können Sie sich auf dieser Seite für eine kostenlose Prüfung auf Schwachstellen anmelden. Unser Notfall-Kundenservice führt Sie dann durch eine persönliche Sitzung, bei der das Tool manuell eingesetzt wird. Gemeinsam suchen wir nach Anzeichen für ein kompromittiertes System und beantworten alle Ihre Fragen.

Durch unsere Partnerschaft mit Veracode, einem unabhängigen Sicherheitsunternehmen, werden manuelle Penetrationstests an ADSelfService Plus vorgenommen, sodass wir aus der Sicht von Dritten auf die Sicherheitsaufnahmen der Lösung blicken können.

Einleitung

Wir wurden über eine Schwachstelle von REST-API-URLs in ADSelfService Plus benachrichtigt, durch die eventuell Remote-Code ausgeführt werden kann, wobei die Authentifizierung umgangen wird.

Details

Die REST API URLs werden durch einen bestimmten Sicherheitsfilter in ADSelfService Plus authentifiziert.

Angreifer haben speziell zusammengestellte REST-API-URLs verwendet, um diesen Sicherheitsfilter zu umgehen, und nutzten dabei einen Fehler bei der Normalisierung der URLs vor der Validierung aus. So konnten die Angreifer auf REST-API-Endpunkte zugreifen und mit deren Hilfe nachfolgende Angriffe ausführen, darunter die willkürliche Befehlsausführung. Das folgende Flowchart zeigt eine Analyse davon, wie die Angreifer die Schwachstelle ausnutzen konnten.

CVE-2021-40539 Flowchart zur Exploit-Analyse

Wie kann ich überprüfen, ob meine Installation betroffen ist?

Es gibt drei Möglichkeiten, zu testen, ob Ihre Installation betroffen ist:

• Unser Erkennungstool ausführen.
• ConBestimmte Protokolleinträge prüfen.
• Bestimmte Dateien im System prüfen.

1. Unser Erkennungstool ausführen

Wir haben ein Tool zur Exploit-Erkennung entwickelt, mit dem Sie sehen können, ob Ihre Installation von dieser Schwachstelle betroffen ist. Sie können dieses Tool hier herunterladen. Nachdem Sie die Datei heruntergeladen haben, führen Sie die folgenden Schritte aus:

1. Extrahieren Sie das Tool in den Ordner \ManageEngine\ADSelfService Plus\bin.
2. Klicken Sie mit der rechten Maustaste auf RCEScan.bat und wählen Sie Als Administrator ausführen aus.
3. Eine Befehlszeile wird geöffnet und das Tool führt einen Scan durch. Falls Ihre Installation betroffen ist, erhalten Sie die folgende Mitteilung:
   “Ergebnis: Ihre Installation von ADSelfService Plus ist durch eine Schwachstelle betroffen, bei der die Authentifizierung umgangen wird.”

Wenn Sie manuell nach Protokollen suchen möchten, befolgen Sie die folgenden Schritte.

2. Bestimmte Protokolleinträge prüfen

1. Zugriffsprotokolle

   Suchen Sie im Ordner \ManageEngine\ADSelfService Plus\logs Zugriffsprotokolldateien mit dem Muster "access_log_<date>.txt" prüfen Sie, ob Einträge mit den nachfolgend aufgeführten Zeichenfolgen vorhanden sind:

   1. /../RestAPI
   2. /./RestAPI

   Das Bild unten zeigt ein Beispiel für einen Zugriffsprotokolleintrag, der die oben erwähnten Zeichenfolgen enthält:

   

2. ServerOut-Protokolle

   Suchen Sie im Ordner \ManageEngine\ADSelfService Plus\logs ugriffsprotokolldateien mit dem Muster "serverOut_<date>.txt" d prüfen Sie, ob ein Ausnahmefehler wie im Bild unten vorliegt:

   

3. ADS-Protokolle

   Suchen Sie im Ordner map \ManageEngine\ADSelfService Plus\logs Zugriffsprotokolldateien mit dem Muster "adslog_<date>.txt" und prüfen Sie, ob Java-Traceback-Fehler mit Referenzen zu NullPointerException getS addSmartCardConfig of getSmartCardConfig vorliegen, wie in der folgenden Abbildung dargestellt:

   

3. Bestimmte Dateien im System prüfen

Wenn Sie ADSelfService Plus 6113 oder eine ältere Version ausführen, und Ihr System betroffen sein sollte, dann müssten die folgenden Dateien im Installationsverzeichnis von ADSelfService Plus vorhanden sein:

1. service.cer im Ordner \ManageEngine\ADSelfService Plus\bin.
2. ReportGenerate.jsp in den Ordnern \ManageEngine\ADSelfService Plus\help\admin-guide\Reports und \ManageEngine\ADSelfService Plus\webapps\adssp\help\admin-guide\reports.
3. adap.jsp im Ordner \ManageEngine\ADSelfService Plus\webapps\adssp\help\html\promotion.
4. custom.bat und custom.txt im Ordner C:\Users\Public\.

Darüber hinaus wurden die folgenden IoCs von CrowdStrike am 22. Juni 2023 im Zusammenhang mit der Beobachtung einer Bedrohungsaktivität veröffentlicht, bei der der Verdacht besteht, dass sie CVE-2021-40539 ausnutzt.

5. selfsdp.jspx im Ordner \ManageEngine\ADSelfService Plus\webapps\adssp\html\promotion\.
6. error.jsp im Ordner \ManageEngine\ADSelfService Plus\webapps\adssp\html\.
7. tomcat-ant.jar im Ordner \ManageEngine\ADSelfService Plus\lib\.
8. Jeder andere Ordner mit Ausnahme von Selbstbedienung im Ordner \ManageEngine\ADSelfService Plus\work\Catalina\localhost\ROOT\org\apache\jsp\.

Plan zur Vorfallsreaktion