Kritische RCE-Schwachstelle in Siklu EtherHaul EH-8010-Geräten entdeckt (CVE ausstehend)

Kritische Remote-Command-Execution-Schwachstelle in Siklu EtherHaul EH-8010

Sicherheitsforscher haben eine schwere unauthentifizierte Remote-Command-Execution-(RCE)-Schwachstelle in den drahtlosen Funkgeräten der Siklu EtherHaul EH-8010-Serie entdeckt. Diese könnte Angreifern ermöglichen, die vollständige Kontrolle über betroffene Geräte zu erlangen. Der Exploit (EDB-ID: 52466) wurde auf der Exploit Database veröffentlicht, ohne dass zum Zeitpunkt der Meldung eine CVE-Kennung zugewiesen wurde.

Technische Details

Die Schwachstelle befindet sich in der Web-Management-Schnittstelle der EtherHaul EH-8010-Geräte, die als Hochleistungs-Funkgeräte in Unternehmens- und Carrier-Netzwerken eingesetzt werden. Der Fehler resultiert aus einer unzureichenden Eingabevalidierung in der Web-Schnittstelle des Geräts, wodurch Angreifer durch speziell gestaltete HTTP-Anfragen beliebige Befehle mit Root-Rechten ausführen können.

Wesentliche technische Merkmale:

• Angriffsvektor: Remote (netzwerkzugänglich)
• Authentifizierung: Unauthentifiziert (keine Anmeldedaten erforderlich)
• Berechtigungsstufe: Root-Zugriff
• Exploit-Verfügbarkeit: Öffentlicher Proof-of-Concept (Exploit-DB 52466)
• Betroffene Versionen: Spezifische Firmware-Versionen noch nicht bekannt gegeben

Auswirkungen

Die RCE-Schwachstelle birgt erhebliche Risiken für Organisationen, die Siklu EtherHaul EH-8010-Geräte in ihrer Netzwerkinfrastruktur einsetzen:

1. Vollständige Systemkompromittierung: Angreifer können Befehle mit Root-Rechten ausführen und so die vollständige Kontrolle über das Funkgerät erlangen
2. Netzwerkausbreitung: Kompromittierte Geräte könnten als Ausgangspunkt für laterale Bewegungen innerhalb von Unternehmensnetzwerken dienen
3. Datenabfang: Möglichkeit, drahtlosen Datenverkehr, der durch betroffene Geräte geleitet wird, abzufangen oder zu manipulieren
4. Persistenzmechanismen: Potenzial zur Installation von Backdoors oder Malware auf verwundbaren Geräten

Empfehlungen

Sicherheitsteams sollten umgehend Maßnahmen zur Risikominderung ergreifen:

1. Temporäre Abhilfe: Zugriff auf die Web-Management-Schnittstelle durch Firewall-Regeln einschränken und nur vertrauenswürdigen IP-Adressen erlauben
2. Überwachung: Erweiterte Protokollierung und Überwachung auf verdächtige Aktivitäten, die auf EtherHaul-Geräte abzielen, implementieren
3. Herstellerkommunikation: Siklu-Support für offizielle Patches und Firmware-Updates kontaktieren
4. Netzwerksegmentierung: EtherHaul-Geräte in dedizierten Netzwerksegmenten mit strengen Zugriffskontrollen isolieren
5. Exploit-Erkennung: IDS/IPS-Signaturen einsetzen, um Exploit-Versuche mit dem öffentlichen Proof-of-Concept zu erkennen

Siklu hat bisher noch kein offizielles Sicherheitsbulletin oder Patch für diese Schwachstelle herausgegeben. Organisationen sollten diese Bedrohung aufgrund der öffentlichen Verfügbarkeit des Exploit-Codes als aktiv behandeln.