Vulnerability Chaining – Verkettung von Schwachstellen Wenn die ERP-Lösung kompromittiert wird

In der IT-Sicherheit gilt das Mantra: Je schneller Patchen, desto besser. Doch leider lassen knappe personelle Ressourcen dies nicht immer zu. Die Folge: Schwachstellen mit hoher Kritikalität werden priorisiert. Was auf den ersten Blick sinnvoll erscheint, birgt jedoch ein großes Risiko, denn Bedrohungsakteure nutzen sogenannte Exploit-Ketten.

„Ach, das ist doch nicht so schlimm.“ – Eine Risikobewertung, die auf den ersten Blick korrekt ist, kann sich bei IT-Sicherheitslücken im Nachhinein als großer Fehler herausstellen. Denn schon eine vergleichsweise kleine Schwachstelle kann Angreifern den Weg zu weiteren, immer kritischeren Schwachstellen ebnen, bis hin zur Kompromittierung zentraler Geschäftsanwendungen, wie ERP-Systemen. Man spricht in diesem Zusammenhang auch von Exploit-Ketten, bei denen im wahrsten Sinne des Wortes eines zum anderen führt.

CVSS: Liegen lassen, vielleicht später, sofort reagieren?

Zum Hintergrund: Schwachstellen werden in der Regel nach ihrer Kritikalität eingestuft. Das sogenannte Common Vulnerability Scoring System (CVSS) ist ein häufig verwendeter Standard zur Bewertung von IT-Lücken. Dabei entspricht ein Wert von 0,0 – 3,9 keinem bzw. einem geringen Risko, während das andere Ende der Skala (9,0 – 10,0) ein sehr hohes Risiko bedeutet.

Unternehmen ziehen diese Skalen heran, um die Reaktionszeit für die Anwendung von Sicherheits-Patches zur Behebung dieser Schwachstellen zu definieren. Denn obwohl grundsätzlich alle Schwachstellen wichtig sind – mehr dazu später – können die wenigsten Unternehmen sofort alle IT-Sicherheitslücken beheben. Die Gründe dafür sind vielfältig und reichen von knappen Security-Ressourcen bis hin zu dünn besetzten IT-Teams. Stattdessen konzentrieren die Unternehmen sich vor allem auf die kritischsten Sicherheitslücken – mit teilweise fatalen Folgen.

Ein Risiko größer als die Summe der Teile

Ein Beispiel: Die Onapsis Research Labs haben im Frühjahr 2023 eine neue Sicherheitslücke identifiziert: CVE-2023-28761. Diese hat eine CVSS v3-Einstufung von 6,5, was einer mittleren Kritikalität entspricht. Unternehmen tendieren dazu, solche mittleren Schwachstellen mit einer geringeren Dringlichkeit zu patchen. Genau hier wird es jedoch interessant für Hacker – und brandgefährlich für Unternehmen: Denn diese Schwachstelle kann von nicht authentifizierten Remote-Angreifern ausgenutzt werden, um letztlich eine Reihe anderer kritischerer Schwachstellen zu missbrauchen, die bereits von SAP gepatcht wurden:

Dies hat zur Folge, dass Sicherheitslücken, die an sich nicht über das Internet zugänglich sind, indirekt von Angreifern ausgenutzt werden können, indem eine Sicherheitslücke mit mittlerer Kritikalität verwendet wird. Über diesen raffinierten „Umweg“ wird dann die gesamte Gruppe von Sicherheitslücken remote ausnutzbar, unauthentifiziert und über das HTTP-Protokoll zugänglich (möglicherweise über das Internet), was umfassende, kritische Auswirkungen auf das System haben kann.

Vulnerability Chaining: Verkettung von Schwachstellen

In der Vergangenheit haben die Onapsis Research Labs bereits häufiger berichtet, dass Angreifer verschiedene Schwachstellen nutzen, mit dem Ziel, Unternehmensdaten zu kompromittieren. Das Kombinieren von Schwachstellen – vor allem aber von Exploits – wird dabei als Exploit Chaining bezeichnet und ist an sich keine neue Taktik der Bedrohungsakteure, bleibt aufgrund seiner potenziellen Gefahr jedoch weiterhin topaktuell.

Da Cyberkriminelle die Möglichkeit haben, diese Schwachstellen-„Familie“ miteinander zu verknüpfen, um breitere, kritischere Auswirkungen zu erzielen, bezeichnen die Onapsis Research Labs diese Familie von CVE(s) (wie oben genannt) als „P4CHAINS“.

Wie können sich Unternehmen vor P4CHAINS schützen?

Weil Angreifer die Möglichkeit haben, über bestimmte Schwachstellen eine tiefere Kompromittierung von Geschäftsanwendungen zu erreichen, müssen Unternehmen jederzeit über Schwachstellen und entsprechende Sicherheitshinweise auf dem Laufenden bleiben. Und das nicht nur, wenn diese veröffentlicht werden, sondern auch später, um weiteren Entwicklungen schnellstmöglich entgegenzusteuern. Dazu brauchen sie Zugriff auf aktuelle Bedrohungsdaten, um besser zu verstehen, welche Schwachstellen gerade ausgenutzt werden, welche Risikofälle mit höherer Priorität als üblich behandelt werden sollten und für welche Sicherheitslücken IT-Teams ihre kostbare Zeit am besten aufwenden. Einige Security-Anbieter wie Onapsis bieten Unternehmen daher über ein sogenanntes Threat Intel Center jederzeit Zugang zu aktuellen Bedrohungsdaten.

Das Beispiel von CVE-2023-28761 zeigt, dass die CVSS-Bewertung von Schwachstellen zwar eine durchaus nützliche Kennzahl ist, jedoch kein unfehlbarer Indikator für die Gefährlichkeit von Sicherheitslücken und deren Auswirkungen. Außerdem verdeutlicht es die enorme Komplexität von Geschäftsanwendungen wie SAP. Sie laufen auf einer Vielzahl von Services, die miteinander vernetzt sind. Schon eine kleine Schwachstelle ermöglicht es Angreifern, sich „über Hintertüren“ Zugang zu Kernanwendungen zu verschaffen. Wichtig ist daher ein holistischer Blick auf die ERP- und IT-Sicherheit, weil sich die Schwere der Kompromittierung durch die Kombination und Verkettung von Schwachstellen z. B. mit der umfassenderen P4CHAINS-Familie deutlich erhöht. Spezialisierte Sicherheitslösungen für den Schutz von SAP-Systemlandschaften können dabei unterstützen.

Abschließend gilt: Patches immer einzuspielen – und das so schnell wie möglich und für alle potenziell betroffenen Anwendungen. Anwendungen richtig konfigurieren und die Angriffsfläche so gering wie möglich zu halten, um den ein- und ausgehenden Datenverkehr optimal kontrollieren zu können. Und letztlich: Nicht den Blick für die Komplexität und das große Ganze verlieren, denn sonst kann das Gesamtrisiko schnell wesentlich größer werden als die Summe seiner Teile.

* Der Autor Volker Eschenbächer ist Vice President, Sales Europe (Central, South & East) bei Onapsis.

(ID:49682065)