Erkennung einer kritischen Sicherheitslücke in Aruba ClearPass (CVE-2020-7115)

Aruba Networks, die Tochtergesellschaft von Hewlett Packard Enterprise, hat einen Security Advisory zu kürzlich entdeckten mehreren Schwachstellen in ihrem Produkt veröffentlicht, das von Unternehmenskunden weltweit genutzt wird. In diesem Artikel werden wir die Details der schwerwiegendsten der gemeldeten Remote Command Execution Schwachstellen in Aruba ClearPass (CVE-2020-7115) mit CVSS 8.1 behandeln und Inhalte zur Erkennung des Authentication Bypass in der ClearPass Policy Manager Weboberfläche vorstellen.

Kritischer Authentication Bypass

Die schwerwiegende CVE-2020-7115 Schwachstelle wurde gemeldet von dozer.nz. Laut der Forschung machten verdächtige Ergebnisse beim Durchsuchen eines potenziellen Angriffs auf ClearPass es möglich, den Endpunkt zu identifizieren, der eine 200-Antwort mit einer Nachricht zurückgab, die darüber informierte, dass keine Datei hochgeladen wurde. Dieser Umstand veranlasste weitere Untersuchungen in ClearPass, und die Forscher fanden heraus, dass Angreifer beliebigen Code ausführen konnten, indem sie Argumente in OpenSSL injizierten und das Überprüfungsskript für Client-Zertifikate missbrauchten. Darüber hinaus wurde der Bypass durch die Verwendung eines Platzhalterzeichens sogar ohne Kenntnis der hochgeladenen Dateinamen möglich.

CVE-2020-7115 Abmilderung und Erkennung

Die kritische CVE-2020-7115 Schwachstelle in der ClearPass WebUI wurde von Forschern an Aruba gemeldet, und Sicherheitsverfahren zur Abmilderung der RCE-Schwachstelle und mehrerer anderer werden im Aruba Product Security Advisory.

Zur Erkennung von Aruba ClearPass RCE, Emir Erdogan, einer der aktivsten Teilnehmer am Threat Bounty Programm, hat eine Community Sigma-Regel entwickelt. https://tdm.socprime.com/tdm/info/E6jmiXJqT1ql/bX59oHQBQAH5UgbBteRm/

Die Regel hat Übersetzungen für die folgenden Plattformen:

SIEM: Azure Sentinel, ArcSight, QRadar, Splunk, Graylog, Sumo Logic, ELK Stack, RSA NetWitness, LogPoint, Humio

EDR: Microsoft Defender ATP, Carbon Black, Elastic Endpoint

MITRE ATT&CK: 

Taktiken: Initialer Zugriff

Techniken: Öffentliche Anwendung ausnutzen (T1190)

Bereit, SOC Prime TDM auszuprobieren? Kostenlos anmelden. Oder dem Threat Bounty Programm beitreten um Ihre eigenen Inhalte zu erstellen und mit der TDM-Community zu teilen.