KnowledgeDeliver LMS: Kritische Sicherheitslücke für Godzilla und Cobalt Strike ausgenutzt
Was ist passiert?
Eine nun gepatchte kritische Sicherheitslücke (CVE-2026-5426, CVSS 7.5) im Learning Management System KnowledgeDeliver von Digital Knowledge wurde als Zero-Day ausgenutzt. Angreifer deployten erfolgreich die Godzilla Web Shell und nutzten diese als Sprungbrett für die Installation von Cobalt Strike Beacon. Das LMS ist besonders in Japan verbreitet und wird von vielen Bildungseinrichtungen eingesetzt.
Hintergrund & Bedeutung
Die Schwachstelle basiert auf hartcodierten ASP.NET Machine Keys in der Anwendung. Diese ermöglichen es Angreifern, ViewState-Daten zu manipulieren und dadurch beliebigen Code auszuführen. Die Godzilla Web Shell ist ein bekanntes Post-Exploitation-Tool, das Remote Code Execution und Datenexfiltration ermöglicht. Cobalt Strike Beacon ist eine professionelle Penetration-Testing-Software, die häufig von Cyberkriminellen für erweiterte Angriffe missbraucht wird. Die Kombination deutet auf gezielte, fortgeschrittene Angriffskampagnen hin.
Empfehlungen für IT-Teams
Sofortmassnahmen:
- Sicherheitsupdate für KnowledgeDeliver unverzüglich einspielen
- Logs auf verdächtige ASP.NET-Aktivitäten prüfen
- Netzwerk auf Cobalt Strike-Indikatoren scannen (C2-Kommunikation)
- Betroffene Systeme isolieren und forensisch analysieren
- Zugriffsrechte und Machine Keys überprüfen und zurücksetzen
Fazit
Die Ausnutzung dieser LMS-Lücke zeigt, dass Bildungsplattformen zunehmend in den Fokus von APT-Gruppen geraten. Schnelle Patchmanagement-Prozesse und proaktives Vulnerability-Scanning sind essentiell.
Quelle: Original Artikel