Bisherige Aktualisierungen

  • 1.0: 23. Dezember 2020: Erstfassung
  • 1.1: 8. Januar 2021: CVE-ID ergänzt, Abschnitt zur Gegenmaßnahme überarbeitet.

Zusammenfassung

Veritas hat im Rahmen seines kontinuierlichen Testprozesses ein Problem identifiziert, bei dem Angreifer unter Windows über Veritas InfoScale beliebigen Code mit Administratorberechtigungen ausführen können.

Problem

CVE-ID: CVE-2020-36166
Schweregrad: Kritisch
CVSS v3.1 Base Score: 9.3 (AV:L/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H)

Beim Start wird mit der InfoScale-Anwendung die OpenSSL-Bibliothek geladen, die unter \usr\local\ssl abgelegt ist. Mit dieser Bibliothek wird versucht, die Konfigurationsdatei \usr\local\ssl\openssl.cnf zu laden, die jedoch möglicherweise nicht vorhanden ist. Auf Windows-Systemen kann dieser Pfad <Laufwerk>:\usr\local\ssl\openssl.cnf lauten, wobei <Laufwerk> das Windows-Standardinstallationslaufwerk (meist C:\) bzw. das Laufwerk ist, auf dem das InfoScale-Produkt installiert wurde. Standardmäßig können Benutzer auf Windows-Systemen auf C:\ Verzeichnisse anlegen. Benutzer mit beschränken Zugriffsrechten für das Windows-System ohne Berechtigungen für InfoScale können eine Konfigurationsdatei <Laufwerk>:\usr\local\ssl\openssl.cnf erstellen, über die ein OpenSSL-Schadmodul geladen werden kann, sodass beim Dienststart beliebiger Code als SYSTEM ausgeführt wird. Angreifer erhalten so Administratorzugriff auf das System und können dann (standardmäßig) auf sämtliche Daten, alle installierten Anwendungen usw. zugreifen.

Diese Sicherheitslücke betrifft InfoScale Storage, Availability, Enterprise, Storage Foundation für Windows, Storage Foundation HA für Windows und Veritas InfoScale Operations Manager (VIOM).

Betroffene Versionen

Veritas InfoScale, Windows-Versionen 7.4.2, 7.4.1, 7.4, 7.3.1, 7.3, 7.2, 7.1, 7.0.1, 7.0, Storage Foundation HA für Windows 6.1 und Storage Foundation für Windows 6.1. Nicht unterstützte ältere Versionen können ebenfalls betroffen sein.

Veritas InfoScale Operations Manager (VIOM), Windows Management Server-Versionen 7.4.2, 7.4, 7.3.1, 7.3, 7.2, 7.1, 7.0. Nicht unterstützte ältere Versionen können ebenfalls betroffen sein.

Andere Plattformen als Windows sind nicht betroffen.

Behebung

Kunden mit laufendem Wartungsvertrag können die Anwendung aktualisieren und/oder einen Patch anwenden, sobald dieser von Veritas bereitgestellt wird.

Gegenmaßnahme

Erstellen Sie bei Windows-Implementierungen über ein Administratorkonto auf dem Systemlaufwerk, auf dem das InfoScale-Produkt installiert ist, das Verzeichnis \usr\local\ssl und sperren Sie in der ACL für das Verzeichnis für alle anderen Benutzer den Schreibzugriff. Angreifer können dann keine OpenSSL-Schadmodule mehr installieren.

  • Um das Systemlaufwerk zu ermitteln, führen Sie über die Eingabeaufforderung das Echo %SYSTEMDRIVE% aus.
  • Um das Laufwerk zu ermitteln, auf dem InfoScale installiert ist, führen Sie über die Eingabeaufforderung das Echo %VMPATH% oder das Echo %VCS_ROOT% aus.

Beispiel:

  • Wenn C: das SYSTEMLAUFWERK ist und das InfoScale-Produkt unter dem Pfad C:\XYZ ebenfalls auf C: installiert ist, erstellen Sie das folgende Verzeichnis und sperren in der ACL für das Verzeichnis für alle anderen Benutzer den Schreibzugriff.
    • C:\usr\local\ssl
  • Wenn C: das SYSTEMLAUFWERK ist und das InfoScale-Produkt unter dem Pfad D:\XYZ auf Laufwerk D: installiert ist, erstellen Sie die folgenden Verzeichnisse und sperren in der ACL für die Verzeichnisse für alle anderen Benutzer den Schreibzugriff.
    • C:\usr\local\ssl
    • D:\urs\local\ssl

Fragen

Bei Fragen oder Problemen im Zusammenhang mit dieser Sicherheitslücke wenden Sie sich an den Veritas-Techniksupport (https://www.veritas.com/support/de_DE).