Anastasios Stasinopoulos vom Obrela LABS-Team entdeckte eine kritische Sicherheitslücke, die Kentico CMS betrifft, ein beliebtes ASP.NET-Web-Content-Management-System, das zur Erstellung von Websites, Online-Shops und Web 2.0-Community-Sites verwendet wird.
Genauer gesagt wurde Kentico CMS 5.5 R2 Build 5.5.3996 als anfällig für SQL-Injection-Angriffe auf einen bestimmten Parameter befunden, wodurch ein potenzieller Angreifer – ohne dass eine Authentifizierung erforderlich ist – mit der Backend-Datenbank des Microsoft SQL-Servers interagieren kann.
Die erfolgreiche Ausnutzung dieser Schwachstelle ermöglicht den unbefugten Zugriff auf die in der Backend-Datenbank gespeicherten Daten sowie deren Änderung/Löschung und kann unter bestimmten Bedingungen auch zur vollständigen Kompromittierung des zugrunde liegenden Betriebssystems genutzt werden, auf dem Kentico läuft.
Der Softwarehersteller wurde von Obrela LABS vor der öffentlichen Bekanntgabe der Sicherheitslücke informiert, die anschließend mit einem CVE-Eintrag registriert wurde: CVE-2021-27581.
Nach Angaben des Softwareherstellers ist es ratsam, Kentico CMS auf die neueste Version zu aktualisieren, die nicht für diese Sicherheitslücke anfällig ist.
Die Sicherheitslücke wurde mit dem Tool sqlmap ausgenutzt:
* Beispielurl: https://target.com/blog?tagname=test&groupid=1
* Anfälliger Parameter: tagname
* Typ: Zeitbasierte blinde SQL-Injektion
* Beispiel-Nutzdaten: tagname=test’+(SELECT CHAR(118)+CHAR(103)+CHAR(85)+CHAR(89) WHERE 1718=1718 AND 6176=(SELECT COUNT(*) FROM sysusers AS sys1,sysusers AS sys2,sysusers AS sys3,sysusers AS sys4,sysusers AS sys5,sysusers AS sys6,sysusers AS sys7))+’&groupid=1
Zeitplan für die Offenlegung und öffentliche Bekanntgabe
- 2021-02-22 – Entdeckung
- 2021-02-23 – Kontakt zum Anbieter
- 2021-02-23 – Vom Hersteller geprüfte Sicherheitslücke
- 2021-02-23 – MITRE zugewiesene CVE
