🔴 CVE-2024-23564: Critical Schwachstelle

„`html

Zusammenfassung

CVE-2024-23564 beschreibt eine kritische Business-Logic-Schwachstelle in HCL Aftermarket EPC. Diese ermöglicht es nicht authentifizierten Angreifern, Benutzerpasswörter vom Server zu extrahieren und auf eine beliebige E-Mail-Adresse umzuleiten. Die Schwachstelle entsteht durch unzureichende Validierung bei der Passwort-Zurücksetzen-Funktion.

Betroffene Systeme

Von dieser Schwachstelle sind verschiedene Versionen von HCL Aftermarket EPC betroffen. Derzeit existiert kein verfügbarer Patch für diese Sicherheitslücke. Administratoren sollten überprüfen, ob ihre Systeme diese Anwendung nutzen.

Technische Details

Die Vulnerability basiert auf einer inkonsistenten Input-Validierung. Während die Anwendung bei initialen Anfragen die Validität der UserId überprüft, fehlt diese Kontrolle bei E-Mail-basierten Anfragen zum Versand von Passwörtern.

Der Angriffsablauf:

• Angreifer sendet eine Passwort-Zurücksetzen-Anfrage mit gültiger UserId
• Die Anfrage passiert die initiale Validierung
• Bei der E-Mail-Versand-Phase wird die E-Mail-Adresse nicht validiert
• Passwort wird an vom Angreifer kontrollierte E-Mail-Adresse gesendet

Der Angriffsvektor ist netzwerkbasiert (CVSS Vector: Network), was bedeutet, dass keine physische Nähe oder lokale Authentifizierung erforderlich ist.

Empfohlene Massnahmen

• Sofortige Aktion: Implementieren Sie serverseitige Validierung für alle E-Mail-Parameter in Passwort-Zurücksetzen-Funktionen
• Rate Limiting: Begrenzen Sie Anfragen pro IP-Adresse und Benutzer
• Monitoring: Überwachen Sie abnormale Passwort-Zurücksetzen-Anfragen
• Benutzer informieren: Benachrichtigen Sie Nutzer über verdächtige Aktivitäten
• Patch-Management: Kontaktieren Sie HCL regelmäßig auf verfügbare Patches
• WAF-Regeln: Implementieren Sie Web Application Firewall-Regeln zur Erkennung manipulierter Anfragen

Bewertung

Mit einem CVSS-Wert von 9.1 handelt es sich um eine kritische Schwachstelle mit hoher Priorität. Die fehlende Verfügbarkeit eines Patches verstärkt die Dringlichkeit kompensierender Sicherheitsmassnahmen erheblich. Organisationen sollten diese Lücke als kritisches Risiko einstufen und sofortige Mitigationsmassnahmen implementieren.

„`