LenelS2 NetBox: kritische Schwachstellen im Access Control System gefunden

Am 30. Mai 2024 wurden kritische Sicherheitslücken im LenelS2 NetBox-Zugriffs- und Ereignisüberwachungssystem veröffentlicht. Diese Sicherheitslücken, die unter dem Alert Code ICSA-24-151-01 geführt werden, betreffen alle Versionen vor 5.6.2. Das NetBox-System wird weltweit in kommerziellen Einrichtungen eingesetzt, um Zugangskontrolle und Ereignisüberwachung zu gewährleisten. Trotz seiner weit verbreiteten Nutzung wurden drei bedeutende Schwachstellen identifiziert, die ein hohes Risiko für die Sicherheit darstellen.

Die erste Schwachstelle betrifft die Verwendung hartkodierter Passwörter (CWE-259). In den Versionen vor 5.6.2 enthält das NetBox-System fest einprogrammierte Anmeldeinformationen, die es Angreifern ermöglichen, die Authentifizierungsanforderungen zu umgehen und sich unberechtigt Zugang zu verschaffen. Diese Schwachstelle wurde mit der CVE-2024-2420 gekennzeichnet und weist eine CVSS v4 Basisbewertung von 9.3 auf, was sie als äußerst kritisch einstuft.

Die zweite Schwachstelle ist die fehlerhafte Neutralisierung von speziellen Elementen in Betriebssystembefehlen, bekannt als OS Command Injection (CWE-78). Diese Sicherheitslücke ermöglicht es Angreifern, ohne Authentifizierung bösartige Befehle mit erhöhten Berechtigungen auszuführen. Diese Schwachstelle wurde mit CVE-2024-2421 identifiziert und ebenfalls mit einer CVSS v4 Basisbewertung von 9.3 bewertet.

Die dritte Schwachstelle betrifft die fehlerhafte Neutralisierung von Argumenttrennzeichen in einem Befehl, bekannt als Argument Injection (CWE-88). Diese Sicherheitslücke erlaubt es authentifizierten Angreifern, bösartige Befehle auszuführen, was zu einer vollständigen Systemübernahme führen kann. Diese Schwachstelle wurde mit CVE-2024-2422 klassifiziert und hat eine CVSS v4 Basisbewertung von 8.7.

Diese Schwachstellen sind besonders besorgniserregend, da sie Angreifern ermöglichen könnten, die Authentifizierung zu umgehen und bösartige Befehle mit erhöhten Berechtigungen auszuführen. Die erfolgreiche Ausnutzung könnte zur vollständigen Systemübernahme und potenziellen Installation von Schadsoftware führen.

LenelS2 hat diese Schwachstellen in der Version 5.6.2 des NetBox-Systems behoben. Es wird dringend empfohlen, dass alle Benutzer auf diese Version aktualisieren, um die Sicherheitslücken zu schließen. Zusätzlich sollten Benutzer sicherstellen, dass ihre Systeme durch die Einhaltung der in der NetBox-Härtungsanleitung empfohlenen Bereitstellungsrichtlinien abgesichert sind.

Die Cybersicherheitsbehörde CISA empfiehlt weiterhin, die Netzwerkaussetzung für Steuerungssystemgeräte zu minimieren und diese hinter Firewalls zu platzieren sowie von Unternehmensnetzwerken zu isolieren. Bei Bedarf sollten sicherere Methoden wie Virtual Private Networks (VPNs) verwendet werden, wobei darauf zu achten ist, dass diese auf die neueste Version aktualisiert werden, da auch VPNs Schwachstellen aufweisen können.