Schlagwortarchiv für: Greenbone

Greenbone AG

Greenbone unterstützt DORA Compliance mit Schwachstellenerkennung, Datensouveränität und Reporting

Das Vertrauen in den globalen Finanzsektor sinkt – Grund dafür ist eine Reihe schwerwiegender Cybervorfälle im laufe der vergangenen Jahre. Diese Angriffe sind äußerst großflächig und kostenintensiv. Nicht nur Großunternehmen leiden unter diesem Kampf. Wenn Datenschutz und die Integrität von Finanztransaktionen kompromittiert sind, betrifft dies auch direkt Privatpersonen.

Einige der folgenschwersten Sicherheitsverletzungen bei Finanzunternehmen in der EU und weltweit umfassen:

  • Equifax (2017): Eine ungepatchte Schwachstelle in Apache Struts führte zum Diebstahl von Sozialversicherungsnummern (SSN), Geburtsdaten, Adressen und Führerscheinen von über 147 Millionen Personen.
  • UniCredit (2018): Italien’s zweitgrößte Bank exponierte persönlich identifizierbare Informationen (PII) von 778.000 Personen im Kundschaftskreis. 2024 erhob Italien eine Strafe von 2.8 Millionen Euro.
  • Capital One (2019): Eine fehlkonfigurierte Firewall ermöglichte den Diebstahl der PII von 106 Millionen Personen.
  • Finastra (2023): Ein in Großbritannien ansässige Fintech-Anbieter, der globale Banken bedient, wurde über sein sicheres Dateiübertragungssystem kompromittiert, was zum Diebstahl von über 400 GB sensibler Finanzdaten großer Bankkunden führte.
  • UBS and Pictet (2025): Ein Drittanbieter-Cyberangriff exponierte die PII von über 130.000 Angestellten, darunter Vertragsinformationen von Führungskräften.
  • Bybit (2025): Nordkoreanische Hackende stahlen im bislang größten Angriff auf eine Krypto-Börse 1.5 Millarden Dollar in Ethereum aus Bybit’s Cold Wallet.

Diese Vorfälle betonen die strategische Notwendigkeit, Finanztechnologien abzusichern. Cyberangriffe auf Banken umfassen betrügerische Überweisungen, das Hacken von Geldautomaten, POS-Malware und Datendiebstahl. Je nach Blickwinkel ist die Entwendung von PII sogar schlimmer, als der Diebstahl von Geld. Gestohlene Daten: Namen, Sozialversicherungsnummern, Adressen und andere PII werden im Darknet verkauft und von Angreifenden für social Engineering, Identitätsdiebstahl oder das Eröffnen betrügerischer Bankkonten genutzt. Geopolitische Spannungen erhöhen die Risiken für Opfer von Datendiebstahl. Feindliche Nationalstaaten und rechtlich zweifelhafte Informationsvermittelnde sammeln Informationen über Einzelpersonen zwecks Überwachung, Einschüchterung und Schlimmerem.

Als Reaktion auf die wachsenden Bedrohungen wurde das Gesetz über die Digitale Operationale Resilienz (“Digital Operational Resiliance Act”, kurz “DORA”) eingeführt, um die Cybersicherheitslage des EU-Finanzsektors durch bessere Sicherheitsrichtlinien zu stärken. Der neue Rechtsrahmen spielt eine zentrale Rolle für den regulatorischen Rahmen der EU im Finanzbereich, um das Vertrauen der Kundschaft zu stabilisieren und die Sicherheit von Unternehmen zu stärken.

Wie Greenbone’s OPENVAS SECURITY INTELLIGENCE bei der Einhaltung von DORA hilft:

  • Schwachstellenmanagement ist ein Grundlegender Bestandteil von IT-Sicherheit, mit anerkanntem Nutzen für Operative Resilienz. OPENVAS SCAN von Greenbone ist ein marktführender Schwachstellen-Scanner mit Erfolgsgeschichte.
  • Unser OPENVAS ENTERPRISE FEED enthält branchenführende Abdeckung für die Erkennung von CVEs sowie bei der Erkennung weiterer Schwachstellen im Netzwerk und an Endpunkten.
  • OPENVAS SCAN kann von Netzwerkdiensten erlaubte Verschlüsselungsprotokolle identifizieren, um sicherzustellen, dass Datenübertragungen mit den Richtlinien zur Datensicherheit konform sind.
  • Unsere Compliance-Scans prüfen auf sicherheitsgehärtete Konfigurationen für eine Bandbreite an Betriebssystemen und Anwendungen. Sie umfassen unter anderem CIS Benchmarks für Apache HTTPD, Microsoft IIS, NGINX, MongoDB, Oracle, PostgreSQL, Google Chrome, Windows 11 Enterprise und Linux [1] [2].
  • Alle Komponenten von OPENVAS SECURITY INTELLIGENCE sind für absolute Datensouveränität konzipiert; die Daten Ihres Unternehmens bleiben in Ihrem Unternehmen.
  • Unsere Kernproduktlinie ist Open Source, langjährig erprobt und steht sowohl Kundschaft, als auch Community-Mitgliedern zur externen Prüfung offen. Diese Transparenz erleichtert die Auditierung durch externe IT-Dienstleistende.
  • OPENVAS REPORT von Greenbone ist speziell darauf zugeschnitten, die Beweiserhebung und Aufbewahrung von Daten zwecks Compliance Reporting zu unterstützen.
  • Als aktiv ISO/IEC 27001:2022 und ISO 9001:2015 zertifiziertes Unternehmen setzt Greenbone auf strengste Qualitätsstandards für Informationssicherheit. Die ISO:14001 Zertifizierung für Umweltmanagementsysteme unterstreicht unser fortwährendes Engagement für Nachhaltigkeit und andere wichtige Themen.

Das EU-Gesetz zur Digitalen Operationalen Resilienz (DORA)

DORA ist eine EU-Verordnung, die am 16. Januar 2023 im Amtsblatt der Europäischen Union veröffentlicht wurde. Am 17 Januar 2025 ist sie offiziell in Kraft getreten. DORA ist Teil der Strategie für das digitale Finanzwesen in der EU, mit dem Ziel, Cybersecurity Verwaltung und Risk Management zu standardisieren und somit die operationale Widerstandsfähigkeit des EU-Finanzwesens zu stärken. Die Verordnung betrifft 20 verschieden Arten von Finanzunternehmen, darunter Banken, Versicherungsinstitute, Investmentfirmen und Drittanbietende von Informations- und Kommunikations-Dienstleistungen (IKT-Drittanbietende).

Aber sind Finanzinstitute nicht bereits unter NIS 2 als wesentliche Einrichtungen (EE, Essential Entities) reguliert?

Ja, allerdings bestimmt Artikel 4 von NIS 2, dass von DORA betroffene Finanzdienstleistungsunternehmen—unter anderem Banken, Investmentfirmen, Versicherungsinstitute und Finanzinfrastrukturen—den von DORA gestellten Ansprüchen in vollem Umfang genügen müssen, wenn es um Cybersecurity Risikomanagement und Vorfallsmeldung geht. Darüberhinaus haben alle sektorspezifischen, gleichwertigen EU-Mandate im Bereich Risikomanagement und Vorfallsmeldung Priorität über die entsprechenden Bestimmungen der NIS 2-Verordnung.

Wer sind die Europäischen Aufsichtsbehörden (European Supervisory Authorities, ESAs)?

Es gibt drei offiziell benannte ESAs, die für die Erstellung von Regulatorischen Technischen Standards (RTS) und Technische Durchführungsstandards (Implementing Technical Standards, ITS) verantwortlich sind, welche die Anforderungen von DORA konkretisieren:

  • European Banking Authority (EBA) [1]
  • European Insurance and Occupational Pensions Authority (EIOPA) [2]
  • European Securities and Markets Authority (ESMA) [3]

Was sind Regulatorische Technische Standards (RTS)?

Wie der Name bereits impliziert, definieren RTS die notwendigen technischen Standards, denen unter DORA fallende Unternehmen entsprechen müssen. RTS-Dokumente bieten detaillierte Richtlinien zur einheitlichen Umsetzung von DORA im EU Finanzsektor [4].

Die Finalen Entwürfe der Regulatorischen Technischen Standards umfassen:

  • Rahmenwerk für das IKT-Risikomanagement und vereinfachtes IKT-Risikomanagement[5]
  • Kriterien für die Klassifizierung von IKT-bezogenen Vorfällen[6]
  • Richtlinie zu IKT-Diensten, die kritische oder wichtige Funktionen von Drittanbietenden (TTPs) unterstützen[7]

Was sind Technische Durchführungsstandards (Implementing Technical Standards, ITS)?

ITS sind detaillierte Vorschriften, die genau bestimmen, wie Finanzunternehmen ihre Verpflichtungen erfüllen müssen. Sie übertragen DORA’s generelle Bestimmungen in präzise, operationale, prozedurale und berichtsbezogene Standards. ITS befassen sich mit Vorfallsberichterstattung, Erfassung und Auswertung von IKT-Drittanbieterbeziehungen, Threat-Led Penetration Testing (TLTP) und dem Austausch von Informationen zu Cyberbedrohungen.

  • Die Finalen Entwürfe der Technischen Durchführungsstandards[8]

Der Umfang von DORA’s Einfluss auf IT-Sicherheit

Hier sind die grundlegenden IT-Sicherheitsprinzipien, auf die DORA Einfluss nimmt:

  1. Risikomanagement: DORA verpflichtet Finanzunternehmen, Robuste IT-Risikomanagement-Frameworks (RMF) umzusetzen, um operationale Risiken zu reduzieren.
  2. Vorfallsberichterstattung: Vollständig regulierte Unternehmen müssen schwerwiegende Cybervorfälle innerhalb von 24 Stunden in einem standardisierten Format an nationale Behörden melden. Kleine, nicht vernetzte und befreite Unternehmen tragen eine abgeschwächte Meldepflicht.
  3. Drittparteirisiken: DORA etabliert strengere Aufsicht und Verantwortlichkeit für den Umgang von Finanzunternehmen mit IKT-Drittanbieterbeziehungen.
  4. Sicherheitstests: Finanzunternehmen müssen ihre digitalen Systeme regelmäßig Sicherheitstests unterziehen, um Cyber-Resilienz zu steigern.
  5. Informationsaustausch: Um den Informationsaustausch zwischen Finanzinstituten und relevanten Behörden zu fördern, werden erstere ermutigt, aufkommende Bedrohungen zu melden, wenn sie für Dritte relevant sein könnten.

Zusammenfassung

Cyberangriffe mit hoher öffentlicher Sichtbarkeit haben Lücken in der Sicherheitsstrategie des Finanzsektors aufgezeigt, was die EU veranlasste, das Gesetz zur Digitalen Operationalen Resilienz (DORA) zu verabschieden, das seit dem 17. Januar 2025 gültig ist. Greenbone ist ein verlässlicher Partner zur Unterstützung in Sachen DORA-Compliance, mit einem bewährten Portfolio an Schwachstellenmanagement-Produkten und Compliance-Berichtstools. Unsere Produkte unterstützen resiliente Datensouveränität und liefern detaillierte Sicherheitsberichte.

Korrektes Cyber-Risikomanagement besteht nicht einfach aus dem Abhaken einer Compliance-Checkliste. Verteidigende müssen frühstmöglich und proaktiv aufkommende Risiken erkennen, um ihre operationale Widerstandsfähigkeit zu steigern. Greenbone hält Sie auf dem neuesten Stand über neue Sicherheitsrisiken und ermöglicht Verteidigungsteams von Europa’s Finanzinstituten, diese anzugehen, bevor es zu einem erfolgreichen Angriff kommt.

Kontakt Kostenlos testen Hier kaufen Zurück zur Übersicht

/von
Greenbone AG

OPENVAS: Der neue Name für bewährte Greenbone-Sicherheit

OPENVAS steht seit mehr als 15 Jahren weltweit für exzellente Open-Source-Sicherheit – von kleinen Unternehmen über öffentliche Einrichtungen bis hin zu Betreibern kritischer Infrastrukturen. OPENVAS wird von Greenbone entwickelt und steht sowohl hinter den Enterprise Produkten von Greenbone, als auch hinter den Community Versionen. Die Marke OPENVAS schafft weltweit Vertrauen in eine hochentwickelte Open Source Lösung, die den Vergleich zu proprietären Mitbewerbern nicht zu scheuen braucht.

Ab jetzt stellen wir den Namen OPENVAS ins Zentrum aller unserer Aktivitäten. Unsere bewährten Lösungen, und unsere neuen Produkte erscheinen ab sofort unter einer gemeinsamen, starken Marke: OPENVAS.

Warum wir uns für OPENVAS entschieden haben

OPENVAS ist international bekannt, steht für Vertrauen und Open Source – und beschreibt klar, worum es geht: das Erkennen und Minimieren digitaler Risiken. Mit dem neuen Namensschema machen wir unsere Lösungen noch verständlicher, funktionaler und global einheitlicher. Ursprünglich nur als Name einer technischen Komponente, dem eigentlichen Schwachstellenscanner, vorgesehen, hat sich der Name jedoch als Bezeichnung unseres Open Source Produktportfolios etabliert. Das nehmen wir gerne auf und nutzen unsere etablierte Marke OPENVAS in allen unseren Produktbezeichnungen.

Das heißt für unsere Nutzer, Kunden und Partner: Es bleibt alles erhalten, was Sie an unseren Lösungen schätzen – nur unter neuen, sprechenden Namen. Und es kommt in diesem Jahr noch einiges dazu: Container Scanning, Agenten-basiertes Scanning, eine neue REST API und einiges mehr.

Was bedeutet das für Sie konkret?

  • Vertrautes bleibt: Ihre Lösungen funktionieren wie gewohnt, inklusive aller Services und Sicherheitsupdates.
  • Namen, die Klarheit schaffen: Jede Produktbezeichnung beschreibt nun direkt ihre Funktion – das spart Zeit und Missverständnisse.
  • Starke Marke, klare Kommunikation: National wie international treten wir unter einem einheitlichen Namen auf – OPENVAS.

Unser bewährtes Ziel: Ihnen die beste Lösung zu bieten, um digitale Risiken schnell, einfach und nachvollziehbar zu minimieren.

Was bedeutet das für unsere bestehenden Appliance Produkte

Unsere bestehenden Produkte werden wie gewohnt fortlaufend aktualisiert. Gleichzeitig bekommen sie neue Namen, wobei OPENVAS dabei immer im Mittepunkt steht.

Ein paar Beispiele: OPENVAS SCAN ist der neue Produktname für die Greenbone Enterprise Appliances, die gewohnten Leistungsbezeichnungen bleiben dabei erhalten. Die Greenbone Enterprise EXA wird zu OPENVAS SCAN EXA, die Greenbone Enterprise 600 zu OPENVAS SCAN 600.

Auch unsere kostenlosen Community Produkte wird es natürlich weiterhin geben, wir nutzen hier den Namen OPENVAS COMMUNITY EDITION für unsere freie Appliance und OPENVAS COMMUNITY FEED für den zugehörigen Daten-Feed mit den Schwachstellentests und Sicherheitsinformationen.

Greenbone bleibt – OPENVAS wird neuer Markenname

Greenbone bleibt der Name unseres Unternehmens – mit Hauptsitz in Deutschland und unseren Tochterunternehmen in Großbritannien, Italien und den Niederlanden. Der Name Greenbone hat sich im deutschsprachigem Raum etabliert, deswegen wollen wir heute nicht die Greenbone AG in OPENVAS AG umbenennen. International sind wir als OPENVAS deutlich bekannter und treten daher unter der Marke OPENVAS auf: OPENVAS UK, OPENVAS IT, OPENVAS NL.

Wir machen durch die Stärkung unserer Marke OPENVAS unsere Mission sichtbar: Cybersecurity verständlich, vertrauenswürdig und zugänglich machen – in über 150 Ländern auf der Welt.

Kontakt Kostenlos testen Hier kaufen Zurück zur Übersicht

/von
Joseph Lee

Juni 2025 Threat Report: Zermürbungsgefecht im Cyberraum

Der IOCTA-Bericht 2025 von Europol warnt davor, dass die Nachfrage nach Daten im Milieu der Cyberkriminalität stark ansteigt. Wie viele Daten wurden genau gestohlen? Genaue Zahlen lassen sich nicht ermitteln. Allerdings wurden bei einem einzigen Hackerangriff auf das US-amerikanische Gesundheitsunternehmen Change Healthcare die persönlichen Daten, unter anderem Sozialversicherungsnummern, von 190 Millionen Menschen gestohlen. Das ist mehr als die Hälfte der gesamten US-Bevölkerung, die von einem einzigen Vorfall betroffen war. Dieser Vorfall verblasst jedoch im Vergleich zum National Public Data Breach von 2024, bei dem 272 Millionen Sozialversicherungsnummern, 420 Millionen Adressen und 161 Millionen Telefonnummern in den USA gestohlen wurden. In den untersuchten Ländern des europäischen Wirtschaftsraums wurden 2024 täglich etwa 363 Datenschutzverletzungen gemeldet. Nun drohen neue Varianten zerstörerischer Wiper-Malware, die Betroffene von Datendiebstahl milde getroffen wirken lassen.

Cyber-Sicherheitsverantwortliche befinden sich in einem zermürbenden Kampf: Die Bewältigung der ständigen Flut neuer Bedrohungen ist eine gewaltige und entscheidende Aufgabe. Im Threat Report dieses Monats geben wir Einblicke in die neueste Welle von Wiper-Malware, neue aktiv ausgenutzte Schwachstellen und aufkommende Bedrohungen, die den globalen Cyberkonflikt prägen.

Neue Welle von Wiper-Malware im Cybergefecht

Kürzlich hat Cisco Talos eine bisher unbekannte Wiper-Malware namens „PathWiper“ beobachtet, die bei einem zerstörerischen Angriff auf kritische Infrastrukturen in der Ukraine eingesetzt wurde. Wiper wird meist im Rahmen von Cyber-Warfare-Kampagnen eingesetzt, bei denen finanzieller Gewinn nicht das primäre Motiv ist. Während Ransomware die Opfer zur Zahlung eines Lösegelds für die Rückgabe ihrer verschlüsselten Daten zwingt, zerstört Wiper diese einfach. Wiper wird seit Beginn des Krieges zwischen Russland und der Ukraine eingesetzt. 2022 wurde HermeticWiper gegen die Ukraine verwendet und legte Regierungsbehörden und kritische Dienste wenige Stunden vor dem ersten Einmarsch Russlands lahm.

Forschungsteams zur Cybersecurity haben kürzlich auch eine neue Ransomware-as-a-Service-Gruppe (RaaS) namens Anubis entdeckt, die ihre maßgeschneiderte Ransomware um eine Wiper-Option erweitert hat. Angesichts der verschärften geopolitischen Spannungen ist es plausibel, dass staatliche Akteure RaaS-Betreiber und Hacktivisten dazu anstiften werden, zerstörerische Angriffe mit großer Wirkung durchzuführen.

Wiper-Angriffe an sich sind nichts Neues. Shamoon, auch bekannt als Disttrack, entdeckt im Jahr 2012, war die erste große Wiper-Malware. Sie wurde vermutlich von iranischen Bedrohungsakteuren entwickelt und zum Angriff auf Saudi Aramco und andere Organisationen in den Golfstaaten eingesetzt. NotPetya, getarnt als Ransomware, war eine weitere prominente Wiper-Variante, die 2017 auftauchte – mit globalen Folgen.

Unternehmen, insbesondere im Bereich kritischer Infrastruktur, müssen die potenziellen Auswirkungen von Wiper-Malware auf ihre Widerstandsfähigkeit berücksichtigen. Was ist, wenn die Zahlung eines Lösegelds keine Option ist? Eine gut konzipierte Backup-Strategie kann eine vollständige oder teilweise Datenwiederherstellung ermöglichen. Jedoch haben Ausfallzeiten auch finanzielle Auswirkungen und können sogar Menschenleben kosten. Die Gewährleistung der Einhaltung der MTTR-Ziele (Mean Time to Recovery) ist für die Aufrechterhaltung des Betriebs von entscheidender Bedeutung. Natürlich ist auch die Sorgfalt bei der Schließung von Sicherheitslücken, bevor sie für Angriffe ausgenutzt werden können, für eine proaktive Cyberstrategie unerlässlich.

Echte Risiken und „AI-Slop“: Linux-CVEs im Wandel

Die Zeiten, in denen Linux weniger Cyberangriffe auf sich zog, sind längst vorbei. Linux-Systeme werden zunehmend zum Ziel raffinierter Angriffe. Im vergangenen Jahr explodierte auch die Zahl der Linux-Kernel-CVEs (Common Vulnerabilities and Exposures); die zentrale CNA (CVE Numbering Authority) wies im Jahr 2024 durchschnittlich 55 neue CVEs pro Woche zu. Dieser Anstieg wird manchmal darauf zurückgeführt, dass künstliche Intelligenz Fehler aufdeckt, die eigentlich keine Sicherheitsrisiken darstellen, sogenannten „AI-Slop“. Der Entwickler von Curl, Daniel Stenberg, veröffentlichte sogar einen Hinweis, in dem er Bug-Reports zu „AI-Slop“ verbot. In einer entsprechenden Diskussion zu einem Bug-Report wurde die Sorge geäußert, dass „ein Angriff auf unsere Ressourcen zur Bewältigung von Sicherheitsproblemen“ erfolgen könnte.

Was das Risiko- und Patch-Management angeht, haben viele Security-Teams nicht den Luxus, die technische Nutzbarkeit jeder CVE eingehend zu untersuchen. Die technische Bewertung und Analyse von Patching-Unterschieden (Patch-Diffs) nehmen enorm viel Zeit in Anspruch. Der daraus resultierende aufreibende Kampf zwingt die Sicherheitsteams zu einem Wettlauf gegen die Zeit. Beim Priorisieren von Behebungsmaßnahmen stützen sich Sicherheitsteams auf CVSS (Common Vulnerability Scoring System), EPSS (Exploit Prediction Scoring System), den Exploit-Status und Faktoren wie Compliance-Anforderungen und betriebliche Kritikalität. Sicherheitsverantwortliche wollen Beweise dafür sehen, dass kontinuierliche Fortschritte erzielt und Sicherheitslücken geschlossen werden. Dies ist der eigentliche Vorteil der Verwendung einer Schwachstellenmanagement-Plattform wie Greenbone.

Vor diesem Hintergrund sind hier einige neue CVEs mit hohem Risiko für Privilegien-Ausweitung auf Linux-Systemen, die in diesem Monat Aufmerksamkeit erregt haben:

  • CVE-2023-0386 (CVSS 7.8): Das OverlayFS-Subsystem des Linux-Kernels, das nun als aktiv ausgenutzt gilt, ermöglicht die Ausweitung auf die Root-Ebene, indem es die Art und Weise ausnutzt, wie Dateien mit besonderen Privilegien zwischen bestimmten gemounteten Dateisystemen kopiert werden.
  • CVE-2025-6019 (CVSS 7.0): Eine in Fedora- und SUSE-Distributionen gefundene Schwachstelle ermöglicht es Angreifenden ohne Root-Rechte in der Gruppe „allow_active“, privilegierte Festplattenoperationen wie das Mounten, Entsperren und Formatieren von Geräten über D-Bus-Aufrufe an „udisksd“ auszuführen. Die Schwachstelle gilt als leicht auszunutzen, und es ist ein öffentlicher PoC (Proof of Concept) verfügbar, was das Risiko erhöht.
  • CVE-2025-32462 und CVE-2025-32463: Zwei lokale Schwachstellen zur Rechteausweitung wurden in Sudo 1.9.17p1 behoben, das am 30. Juni 2025 veröffentlicht wurde. CVE-2025-32462 ermöglicht es, über lokale Geräte die Option „–host“ zu missbrauchen, um Berechtigungen auf zugelassenen Hosts zu erweitern, während CVE-2025-32463 unbefugten Root-Zugriff über die „–chroot“-Option ermöglicht, selbst wenn dies in der Sudo-Datei nicht ausdrücklich erlaubt ist.
  • CVE-2025-40908 (CVSS 9.1): Nicht authentifizierte Angreifende können vorhandene Dateien manipulieren, indem sie eine speziell gestaltete YAML-Datei als Eingabe verwenden, die zu einem missbräuchlichen Aufruf von „open“ mit zwei Argumenten führt. Zu den anfälligen Systemen gehören alle Perl-Anwendungen oder -Distributionen (wie Amazon Linux, SUSE, Red Hat, Debian), die YAML‑LibYAML vor Version 0.903.0 verwenden.

CVE-2025-49113: Eine kritische CVE in RoundCube Webmail

Eine kürzlich bekannt gewordene Sicherheitslücke mit der Kennung CVE-2025-49113 (CVSS 9.9) in RoundCube Webmail ermöglicht es bei authentifizierten Angriffen, beliebigen Code auf einem RoundCube-Server auszuführen. Eine schlecht konzipierte PHP-Deserialisierung [CWE-502] validiert Eingaben nicht ordnungsgemäß, sodass der Parameter „_from“ bösartigen serialisierten Code übertragen kann. Cyberkriminelle, die den Fehler erfolgreich ausnutzen, können möglicherweise die vollständige Kontrolle über den RoundCube-Server erlangen, um Daten zu stehlen und Command-and-Control-Tools (C2) für den dauerhaften Zugriff zu installieren.

Obwohl für die Ausnutzung von CVE-2025-49113 gültige Anmeldedaten erforderlich sind, sind keine Administratorrechte erforderlich. Technische Analysen [1][2], PoC-Exploits [3][4] und ein Metasploit-Modul sind verfügbar, was das potenzielle Risiko eines Missbrauchs erhöht. Ein EPSS-Score von 81 weist auf eine extrem hohe Wahrscheinlichkeit einer Ausnutzung in naher Zukunft hin. Der Forscher, der die Schwachstelle entdeckt hat, behauptet, dass Exploit-Kits bereits in Untergrundforen für Cyberkriminalität zum Verkauf angeboten werden. Zahlreiche nationale CERT-Behörden haben Warnungen zu dieser Schwachstelle herausgegeben [5][6][7][8][9], während Shadowserver Anfang Juni über 84.000 exponierte Roundcube-Dienste gemeldet hat.

Der Greenbone Enterprise Feed umfasst eine Remote-Versionserkennung [10][11] und Linux Local Security Checks (LSC) [12][13][14][15][16][17] zur Identifizierung anfälliger Instanzen von RoundCube Webmail (Versionen vor 1.5.10 und 1.6.11). Anwendenden wird dringend empfohlen, Updates umgehend zu installieren.

Neue kritische CVE in Cisco ISE Cloud mit PoC-Exploit

CVE-2025-20286 (CVSS 10) ist eine neue Schwachstelle, die Cloud-Bereitstellungen der Cisco Identity Services Engine (ISE) auf AWS, Azure und Oracle Cloud Infrastructure (OCI) betrifft. Der Fehler könnte nicht authentifizierten Angreifenden den Zugriff auf sensible Daten, die Ausführung einiger eingeschränkter Verwaltungsvorgänge, die Änderung von Systemkonfigurationen und die Störung von Diensten ermöglichen. Aufgrund eines mangelhaften Software-Designs werden identische Zugangsdaten [CWE-259] generiert und für alle verbundenen ISE-Instanzen mit derselben Version und Plattform freigegeben.

Cisco hat die Existenz eines öffentlich zugänglichen Exploits bestätigt. Das Unternehmen erklärte außerdem, dass die Schwachstelle nur ausgenutzt werden kann, wenn der primäre Administrationsknoten in der Cloud bereitgestellt ist. Lokale Bereitstellungen und mehrere Hybrid-/Cloud-VM-Lösungen sind nicht betroffen. Insgesamt stellt CVE-2025-20286 aufgrund der weit verbreiteten Nutzung von Cisco ISE in Unternehmensnetzwerken und der Verfügbarkeit von Exploit-Code eine hochriskante Schwachstelle für alle mit betroffenen Konfigurationen dar. Greenbone bietet einen Test zur Versionserkennung an, um potenziell gefährdete Instanzen zu identifizieren.

CitrixBleed 2 und eine weitere aktiv ausgenutzte Schwachstelle in Citrix NetScaler ADC und Gateway

CVE-2025-5777 (CVSS 9.3), auch „CitrixBleed 2“ genannt, ist eine Out-of-Bounds-Read-Sicherheitslücke [CWE-125], die Citrix NetScaler ADC und NetScaler Gateway betrifft und es bei nicht authentifizierten Angriffen ermöglicht, gültige Sitzungstoken aus dem Speicher zu stehlen, indem fehlerhafte HTTP-Anfragen gesendet werden. CVE-2025-5777 ist auf eine unzureichende Eingabevalidierung zurückzuführen, eine leider häufige, aber leicht zu vermeidende Ursache für Softwarefehler. Die Offenlegung von Sitzungstoken ermöglicht die Identitätsübernahme legitimer Benutzerinnen und Benutzer und damit unbefugten Zugriff. Sicherheitsverantwortliche gehen davon aus, dass eine Ausnutzung der Schwachstelle unmittelbar bevorsteht, und ziehen Parallelen zur ursprünglichen CitrixBleed-Sicherheitslücke (CVE-2023-4966), die von Ransomware-Gruppen bei schwerwiegenden Angriffen ausgenutzt wurde.

Eine weitere Schwachstelle, CVE-2025-6543 (CVSS 9.8), die ebenfalls Citrix NetScaler ADC und Gateway betrifft, wurde zum KEV-Katalog (Known Exploited Vulnerabilities) der CISA hinzugefügt, was darauf hindeutet, dass sie bereits aktiv ausgenutzt wird. CVE-2025-6543 ist eine Memory-Overflow-Schwachstelle [CWE-119]. Die Auswirkungen wurden offiziell als Denial of Service beschrieben, aber in Fachkreisen wird angenommen, dass sie auch die Ausführung von beliebigem Code oder die Übernahme von Geräten umfassen können, wie in ähnlichen Fällen in der Vergangenheit beobachtet wurde.

Beide Schwachstellen betreffen nur Geräte, die als Gateway (VPN-Virtual Server, ICA-Proxy, CVPN, RDP-Proxy) oder AAA (Authentifizierung, Autorisierung und Abrechnung) Virtual Server konfiguriert sind. Beide Schwachstellen sind Gegenstand weitreichender nationaler CERT-Hinweise [1][2][3][4][5][6][7]. Greenbone bietet eine Remote-Versionsprüfung zur Erkennung von CitrixBleed 2 sowie eine Remote-Versionsprüfung für CVE-2025-6543. Die Installation aktueller Sicherheitsupdates wird dringend empfohlen.

Drei ausnutzbare Schwachstellen in Sitecore CMS

Drei neue CVEs, die die Sitecore Experience Platform betreffen, können verkettet werden, um eine nicht authentifizierte Remote Code Execution (RCE) durchzuführen. Die Schwachstellen wurden mit einer vollständigen technischen Beschreibung und PoC-Anleitung veröffentlicht, wodurch ihre Ausnutzung sehr wahrscheinlich ist. In der Angriffskette ermöglicht CVE-2025-34509 den ersten authentifizierten Zugriff, während CVE-2025-34510 oder CVE-2025-34511 beide RCE-Schwachstellen nach der Authentifizierung sind. Angreifende können zunächst fest codierte Anmeldedaten ausnutzen, um ein gültiges Sitzungstoken zu generieren, dann eine bösartige „.aspx“-Webshell hochladen und anschließend beliebige Shell-Befehle auf dem System des Opfers ausführen. Alternativ könnte CVE-2025-34511 verwendet werden, um PowerShell-Befehle auszuführen, anstatt eine Webshell hochzuladen.

Hier eine kurze Beschreibung der einzelnen Schwachstellen:

  • CVE-2025-34509 (CVSS 8.2): Fest codierte Anmeldedaten [CWE-798] ermöglichen es Remote-Angreifenden, sich mit diesem Konto zu authentifizieren, um auf die Admin-API zuzugreifen.
  • CVE-2025-34510 (CVSS 8.8): Eine als „Zip Slip“ bekannte Schwachstelle beim Path Traversal mit relativen Pfaden [CWE-23] ermöglicht es Kriminellen über einen authentifizierten Angriff, schädliche Dateien aus einem ZIP-Archiv in das Webroot-Verzeichnis zu extrahieren, was über eine .aspx-Webshell zu RCE führen könnte.
  • CVE-2025-34511 (CVSS 8.8): Eine uneingeschränkte Datei-Upload-Sicherheitslücke [CWE-434] im PowerShell-Extensions-Modul ermöglicht es Angreifenden, beliebige Dateien, einschließlich ausführbarer Skripte, an einen beliebigen beschreibbaren Speicherort hochzuladen. Obwohl CVE-2025-34511 die Installation der Sitecore PowerShell Extension erfordert, wird dies als gängige Konfiguration angesehen.

Sitecore ist ein beliebtes Content-Management-System (CMS) für Unternehmen, das von großen globalen Organisationen in verschiedenen Branchen eingesetzt wird. Obwohl Sitecore schätzungsweise zwischen 0,45 % und 0,86 % des globalen CMS-Marktanteils ausmacht [1][2], besteht ihre Klientel aus hochwertigen Zielen. Greenbone ist in der Lage, anfällige Instanzen von Sitecore mit einer aktiven Überprüfung und einem Test zur Fernerkennung der Version zu erkennen. Patches wurden in Sitecore Version 10.4 veröffentlicht und auf frühere, unterstützte Versionen zurückportiert, sodass Benutzende ein Upgrade durchführen können.

Umgehung von CVE-2025-23120 in Veeam-Backups

CVE-2025-23121 (CVSS 9.9) ist eine Lücke in der Deserialisierung [CWE-502], die es den für die Domain authentifizierten Personen ermöglicht, beliebigen Code [CWE-94] auf Veeam Backup & Replication-Servern auszuführen. Die Schwachstelle entsteht durch unsichere Datenverarbeitung und stellt eine Umgehung einer zuvor gepatchten Schwachstelle, CVE-2025-23120, dar.

Derzeit ist kein öffentlicher PoC-Exploit verfügbar. Jedoch sind CVEs in Veeam Backup & Replication häufig das Ziel von Cyberkriminellen. Darüber hinaus betrifft die Sicherheitslücke nur Unternehmen, die Domain-gebundene Backup-Server verwenden. Angesichts der Bedeutung von Backups für die Wiederherstellung nach Ransomware-Angriffen stellt sie jedoch eine ernsthafte Bedrohung dar. Kriminelle können gültige Anmeldedaten stehlen oder Passwort-Spraying einsetzen, um wiederverwendete Zugangsdaten zu erlangen.

Greenbone kann remote betroffene Veeam-Produkte erkennen, und es wird dringend empfohlen, einen Patch auf Version 12.3.2.3617 zu installieren

Zusammenfassung

Im Juni 2025 tauchten mindestens zwei neue Wiper-Malware-Varianten auf, die kritische Infrastrukturen und Unternehmen bedrohen. Weitreichende massive Datenverletzungen nehmen zu und beeinträchtigen Unternehmen und Einzelpersonen, da gestohlene Daten für verschiedene böswillige Zwecke verwendet werden. In diesem Monat gab es auch eine Flut neu entdeckter, kritischer Sicherheitslücken in Produkten für Unternehmen, von denen die meisten nicht in diesem Bericht behandelt werden. Viele davon waren innerhalb weniger Stunden nach ihrer Bekanntgabe mit PoCs oder vollständigen Exploit-Kits verfügbar. Von RoundCube und Cisco ISE bis hin zu Citrix- und Linux-Systemen: Hochriskante digitale Schwachstellen, die Aufmerksamkeit erfordern, heizen die Zermürbungsschlacht im Cyberraum weltweit für die angegriffenen Unternehmen weiter an.

Kontakt Kostenlos testen Hier kaufen Zurück zur Übersicht

/von
Joseph Lee

Kritisch: CVE-2025-25257 mit unautorisierter Remote Code Execution in FortiWeb Fabric Connector

Die neue Schwachstelle CVE-2025-25257 (CVSS 9.6) in Fortinets FortiWeb Fabric Connector stellt weltweit ein hohes Risiko dar. Obwohl sie sich am 14. Juli 2025 noch im Status „Reserved“ befand, haben das CERT.be in Belgien und das Center for Internet Security (CIS) bereits eine CERT-Warnungen veröffentlicht. Weitere Warnungen dürften in Kürze folgen, sobald die CVE den Status „Published“ erreicht.

Es sind mehrere öffentliche PoC (Proof of Concept) Exploits [1][2] verfügbar, die das Risiko weiter erhöhen. Updates sollten dringend installiert werden. Greenbone hat kurz nach der Offenlegung der Schwachstelle einen Erkennungstest veröffentlicht, mit dem sich anfällige Systeme in den Netzwerken identifizieren lassen. Ein Blick auf die Details von CVE-2025-25257 zeigt, worum es sich dabei handelt.

CVE-2025-25257: RCE in FortiWeb Fabric Connector

CVE-2025-25257 (CVSS 9.6) ist eine Schwachstelle, die einen nicht authentifizierten Zugriff (Remote Code Execution; RCE) in Fortinet FortiWeb Fabric Connector erlaubt. Sie wurde mit einem kritischen Schweregrad von CVSS 9.6 klassifiziert, weil sie die Ausführung von SQL- und Python-Code auf dem System des Opfers aufgrund unsachgemäßer Filterung von HTTP-Headern ermöglicht. Erschreckenderweise besteht diese Schwachstelle, weil der Wert des HTTP-Headers „Authorization:Bearer” ohne Bereinigung in SQL-Abfragen eingefügt wird [CWE-89] – ein unverzeihlich schlechtes Software-Design. Vollständige technische Beschreibungen und Exploits [1][2][3] wurden von watchTowr Labs und anderen Sicherheitsforschenden veröffentlicht, sodass die Ausnutzung dieser Schwachstelle nun für Cyberkriminelle auf jedem Niveau als trivial anzusehen ist.

Zusätzlich zu allen typischen SQL-Injection-Angriffen, wie dem Aufzählen der Datenbanken oder dem Ändern von Daten, können RCE-Angriffe durchgeführt werden, indem durch SQL-Code der MySQL-Befehl „INTO OUTFILE“ ausgenutzt wird. Durch das Schreiben einer ausführbaren „.pth“-Datei in das Python-Verzeichnis „site-packages“ (im Fall von  FortiWeb: „/usr/local/lib/python3.10/site-packages/“) wird diese jedes Mal ausgeführt, wenn ein Python-Skript gestartet wird. Denn beim Start des Interpreters wird der integrierte Initialisierungsmechanismus von Python („site.py“) ausgelöst. Die webbasierte Verwaltungskonsole von FortiWeb enthält überdies ein Python-basiertes CGI-Skript („ml-draw.py“), das ohne Authentifizierung ausgelöst werden kann, was die Exploit-Kette vervollständigt.

Obwohl die Schwachstelle bislang noch nicht in der Praxis ausgenutzt wurde, deuten ihr Status als Pre-Auth-RCE und frühere Angriffe auf Fortinet-Produkte darauf hin, dass eine leicht zu nutzende Schwachstelle wie CVE-2025-25257 wahrscheinlich bald nach ihrer Offenlegung Verwendung finden wird. FortiWeb Fabric Connector ist kein öffentlich erreichbarer Edge-Dienst, kann jedoch lokal ausgenutzt werden, um FortiWeb WAF-Konfigurationen zu ändern, sensible Informationen zu stehlen oder zusätzliche persistente Malware zu installieren.

Welche Rolle spielt der FortiWeb Fabric Connector?

FortiWeb selbst ist eine Web Application Firewall (WAF), die in diesem Zusammenhang als Sicherheitskomponente am Netzwerkrand (Edge) betrachtet werden kann. Fabric Connector ist eine Systemintegrationskomponente zur automatisierten Koordination zwischen der FortiWeb WAF und anderen Fortinet-Produkten wie FortiGate und FortiManager. Wenn andere Fortinet-Geräte Bedrohungsdaten generieren, kann der Fabric Connector daraus in Echtzeit Sicherheitsmaßnahmen innerhalb von FortiWeb generieren. Glücklicherweise ist der FortiWeb Fabric Connector kein Edge-Dienst und daher in der Regel nicht über das öffentliche Internet zugänglich. Als WAF haben FortiWeb-Geräte jedoch die Aufgabe, bösartigen Datenverkehr daran zu hindern, Webserver zu erreichen. Wenn Angreifende also in der Lage sind, die Konfiguration zu ändern, könnten sie sekundäre Angriffe auf webbasierte Ressourcen ermöglichen.

Behebung der Sicherheitslücke CVE-2025-25257

CVE-2025-25257 betrifft die FortiWeb-Versionen 7.0.0 bis 7.0.10, 7.2.0 bis 7.2.10, 7.4.0 bis 7.4.7 und 7.6.0 bis 7.6.3. Nutzende sollten umgehend ein Upgrade auf die Versionen 7.0.11, 7.2.11, 7.4.8 oder 7.6.4 oder höher durchführen. Wenn ein Update nicht möglich ist, empfiehlt Fortinet, das FortiWeb HTTP/HTTPS-Admin-Interface zu deaktivieren.

Zusammenfassung

CVE-2025-25257 ermöglicht RCE für nicht authentifizierte Angriffe über die Fabric Connector HTTP-API von Fortinet FortiWeb. Die Schwachstelle beruht auf einer SQL-Injection-Lücke, die bereits dazu verwendet wurde, Privilegien zu eskalieren und Python-Code auszuführen. Öffentliche PoCs und eine nationale CERT-Empfehlung von CERT.be unterstreichen die Dringlichkeit, einen Patch zu installieren oder andere Abhilfemaßnahmen zu ergreifen. Greenbone hat kurz nach Bekanntwerden dieser Schwachstelle einen Erkennungstest veröffentlicht, mit dem Sie anfällige Systeme in ihren Netzwerken identifizieren können.

Kontakt Kostenlos testen Hier kaufen Zurück zur Übersicht

/von
Markus Feilner

Bundesrechnungshof: Rechenzentren der Behörden haben massive Schwachstellen

Der Bundesrechnungshof übt scharfe Kritik am aktuellen Stand der Cybersicherheit in der Bundesverwaltung. Ein als vertraulich eingestuftes Dokument, das Der Spiegel zitiert, kommt zu dem Schluss, dass wesentliche Teile der staatlichen IT-Infrastruktur gravierende Sicherheitsmängel aufweisen und nicht den Mindestanforderungen des Bundesamts für Sicherheit in der Informationstechnik (BSI) entsprechen.

Der Bundesrechnungshof (BRH) ist das oberste deutsche Kontrollorgan für die Haushalts- und Wirtschaftsführung des Bundes. Er prüft, ob Bundesbehörden, Ministerien, Bundesunternehmen und andere öffentliche Einrichtungen ordnungsgemäß, wirtschaftlich und sparsam mit Steuergeldern umgehen. Dabei ist er unabhängig, sowohl von der Bundesregierung als auch vom Bundestag.

In dem Bericht moniert er, dass es kein zentrales, ressortübergreifendes Informationssicherheitscontrolling gebe. Die bestehende Sicherheitsarchitektur müsse effizienter gestaltet werden.

Unzureichend: Controlling und NIS2-Vorbereitung

Ein weiterer Kritikpunkt kommt durch die Anforderungen der NIS2-Richtlinie hinzu [1] [2] [3]. Diese bringt erhebliche neue Pflichten für Bundesbehörden und KRITIS-nahe Organisationen mit sich – insbesondere in Bezug auf Prävention, Nachweispflichten und BSI-Kontrollen. Viele Einrichtungen sind darauf weder technisch noch organisatorisch ausreichend vorbereitet.

Der Rechnungshof bewertet zwar positiv, dass durch die Anpassung der Schuldenbremse gezielt in Cybersicherheit investiert werden kann. Die Investitionen sind jedoch an die nachweisbare Wirksamkeit der Maßnahmen gebunden. In der Praxis bedeutet dies: Nur wer belegen kann, dass geplante Sicherheitsmaßnahmen zu konkreten Verbesserungen führen, wird künftig Fördermittel erhalten.

Steigender Handlungsdruck

Der Bericht verdeutlicht den steigenden Handlungsdruck in der öffentlichen Verwaltung. Die Bedrohungslage verschärft sich weiter – mit jährlichen Schadenssummen in dreistelliger Milliardenhöhe. Der Bundesrechnungshof fordert ein Umdenken: hin zu einem strukturierten, datengestützten und nachhaltigen Sicherheitsmanagement. Alarmierend ist das flächendeckende Versagen: In fast allen Rechenzentren deutscher Behörden finden sich gravierende Schwachstellen – mit dramatischen Konsequenzen für Sicherheit, Resilienz und Vertrauenswürdigkeit der staatlichen IT-Infrastruktur. Behörden und KRITIS-Organisationen müssen jetzt aktiv werden und modernes Schwachstellenmanagement einführen.

Oft fehlt dabei sogar die Notstromversorgung, nicht einmal ein Zehntel der untersuchten Rechenzentren erfüllen die BSI-Mindeststandards für Hochverfügbarkeit. Das, so die Untersuchung, sei besorgniserregend: Fehlende Redundanz, veraltete Systeme, unzureichende Ausfallsicherheit: All das gefährdet die Funktionsfähigkeit kritischer Infrastruktur im Krisenfall.

Über 180 Milliarden Euro Schaden jedes Jahr

Dabei ist der Schaden bereits da: Laut aktueller Zahlen verursachen Cyberangriffe jedes Jahr Schäden von über 180 Milliarden Euro in Deutschland. Sabotageakte, hybride Angriffe und Blackout-Szenarien sind längst Realität – Tendenz steigend.

Laut Bundesrechnungshof fehlt es aber an vielen Stellen: an strukturierter Informationssicherheit und ressortübergreifendem, datenbasiertem IT-Risikomanagement und passendem Controlling. Es fehlen belastbare Informationen. Ohne diese lassen sich weder die Gefahrenlage noch etwaige Fortschritte im Einzelfall realistisch einschätzen – und schon gar nicht nachweisen.

Greenbones Schwachstellenmanagement hilft

Geht es darum, die richtigen Maßnahmen umzusetzen und ihre Wirksamkeit nachzuweisen, kommen Lösungen wie die von Greenbone ins Spiel. Modernes Schwachstellenmanagement bietet einen entscheidenden strategischen Vorteil: Es schafft eine verlässliche, belastbare Datenbasis für die Entscheidungen der Administratoren und des Managements.

OPENVAS von Greenbone erkennt, bewertet und priorisiert Schwachstellen automatisch, kontinuierlich und objektiv. So entsteht ein verlässliches Fundament für IT-Controlling-Strukturen – auch in Ministerien, Behörden und anderen öffentlichen Betrieben. Vulnerability Management schafft überdies in Zeiten wachsender Rechenschaftspflicht eine unverzichtbare Transparenz – und wird so vom „Nice to Have“ zum Pflichtbaustein.

Die Reports des Greenbone Vulnerability Managements enthalten Bewertungen durch die Metriken CVSS (Common Vulnerability Scoring System) und EPSS (Exploit Prediction Scoring System), Trendanalysen und Fortschrittsindikatoren. Damit können Behörden nicht nur intern dokumentieren, sondern gegenüber Rechnungshöfen und Ministerien auch messbare Verbesserungen belegen.

Gerüstet für NIS2 

Die neue NIS2-Richtlinie verschärft Anforderungen für Betreiber kritischer Infrastrukturen, definiert neue Verantwortlichkeiten, weitet BSI-Kontrollen und Meldepflichten aus und konkretisiert einzusetzende Softwarekomponenten. Daher beschäftigen sich mehr und mehr Unternehmen mit der bevorstehenden deutschen Variante der Regelung.

Greenbones Lösungen unterstützen Behörden und KRITIS-nahe Organisationen aktiv bei der Vorbereitung auf regulatorische Prüfungen. Funktionen wie das automatisierte Schwachstellenmanagement, revisionssichere Reportings und Audit-Trails bieten Sicherheit, auch unter steigender behördlicher Kontrolle.

Webinare helfen bei der Prävention – Jetzt ist die Zeit zum Handeln!

Greenbones Kundschaft erhält konkrete Hilfe, wenn es darum geht, die BSI-Vorgaben im Rechenzentrum zu erfüllen, Audits vorzubereiten und das Schwachstellenmanagement als Bestandteil der Notfallvorsorge zu sehen. Denn Prävention ist immer günstiger und effektiver als die Krisenbewältigung.

Der Bericht des Bundesrechnungshofs ist ein Weckruf – und eine Chance. Und weil Cybersicherheit mit Sichtbarkeit beginnt, ist Greenbone die richtige Wahl. Kontaktieren sie uns oder besuchen sie unsere Webinare – ganz aktuell die Reihe für Behörden und KRITIS. Dort erhalten sie tiefgehenden Informationen zur Umsetzung der NIS-2-Richtlinie, Rechenzentrumshärtung und Georedundanz aber auch zum grundsätzlichen Aufbau eines Schwachstellen-Controllings. Termine, Inhalte und Anmeldung finden Sie auf der Website.

NIS2 oder NIS-2? Im text wird einheitlich NIS-2 genutzt, in den Überschriften NIS2.

Kontakt Kostenlos testen Hier kaufen Zurück zur Übersicht

/von
Greenbone AG

Greenbone testet jetzt auch auf CIS Windows 11 Benchmarks

Microsoft Windows ist nach wie vor das am weitesten verbreitete Desktop-Betriebssystem in Unternehmensumgebungen – und gleichzeitig mit am häufigsten von Angreifern ins Visier genommen. Unsichere Konfigurationen sind eine der Hauptursachen für Sicherheitsverletzungen [1][2][3] und werden häufig ausgenutzt, um sich ersten Zugriff zu verschaffen [TA0001], Berechtigungen zu erweitern [TA0004], Anmeldedaten zu stehlen [TA0006], dauerhaften Zugriff zu erlangen [TA0003] und sich innerhalb eines Netzwerks seitlich zu bewegen [TA0008]. Viele nationale Cybersicherheitsbehörden empfehlen Unternehmen weiterhin nachdrücklich, Richtlinien zur Stärkung der Basiskonfigurationen von Betriebssystemen (OS) zu erlassen [4][5][6][7][8].

Die Sicherung von Windows 11-Systemen erfordert mehr als nur das Patchen bekannter Schwachstellen. IT-Abteilungen sollten zunächst sicherheitsgehärtete Basis-Images von Windows bereitstellen und deren Konfiguration regelmäßig überprüfen. Dazu müssen viele versteckte oder oft übersehene Einstellungen von Microsoft Windows angepasst und einige Funktionen vollständig deaktiviert werden. Zu den gehärteten Sicherheitskontrollen gehören die Durchsetzung strenger Richtlinien für Passwörter und Kontosperrungen, die Deaktivierung unnötiger Systemdienste wie Remote Registry, die Anwendung von Anwendungskontrollregeln über AppLocker, die Konfiguration erweiterter Überwachungsrichtlinien zur Überwachung der Systemaktivitäten und vieles mehr. 

Im Einklang mit diesen IT-Sicherheitszielen für Unternehmen ist Greenbone stolz darauf, die Aufnahme des CIS Microsoft Windows 11 Enterprise Benchmark v3.0.0 Level 1 (L1) Audits in die Compliance-Funktionen bekannt zu geben. Mit dieser neuesten Erweiterung können unsere Enterprise-Feed-Kunden ihre Windows 11-Konfigurationen anhand des CIS-Compliance-Standards überprüfen. Damit erweitert Greenbone das wachsende Arsenal an CIS-Compliance-Richtlinien, darunter Google Chrome, Apache, IIS, NGINX, MongoDB, Oracle, PostgreSQL, Windows, Linux und Docker [1][2]. Hier die neuesten Funktionen zur Schwachstellenerkennung von Greenbone:

Greenbone erweitert CIS Microsoft Windows 11 Enterprise Benchmark

Der CIS Microsoft Windows 11 Enterprise Benchmark v3.0.0 L1 ist jetzt im Greenbone Enterprise Feed verfügbar. Dieser Benchmark definiert einen umfassenden Satz von Sicherheitskonfigurationen, die darauf ausgelegt sind, Windows 11 Enterprise gemäß den Best Practices der Branche zu sichern – angefangen bei Gruppenrichtlinien und Registrierungshärtung bis hin zu integrierten Funktionsbeschränkungen. Mit dieser neuen Ergänzung macht es Greenbone einfacher, Fehlkonfigurationen von Microsoft Windows zu identifizieren, bevor Angreifer sie ausnutzen können.

Unser Enterprise-Schwachstellen-Feed nutzt Compliance-Richtlinien, um Tests zur Überprüfung jeder automatisierbaren CIS L1-Anforderung durchzuführen. Diese Tests sind in Scan-Konfigurationen gruppiert, sodass Sicherheitsteams gezielte Untersuchungen für ihre gesamte Windows 11-Flotte durchführen können. Unabhängig davon, ob Sie interne Sicherheitsvorschriften oder gesetzliche Rahmenbedingungen einhalten müssen, bestätigt die Prüfung von Greenbone Ihre Windows 11 Enterprise-Einstellungen und stellt sicher, dass die Systeme gesperrt und veraltete oder riskante Funktionen deaktiviert sind.

Windows-Sicherheit: von größter Bedeutung

Microsoft Windows spielt eine wichtige Rolle in IT-Umgebungen von Unternehmen und dient als Rückgrat für Endgeräte, Server und Domäneninfrastrukturen. Diese Allgegenwärtigkeit macht es jedoch auch zu einem bevorzugten Ziel. Unsichere Windows-Konfigurationen können die Tür für Remote Code Execution (RCE), den Diebstahl von Anmeldedaten und die Ausweitung von Berechtigungen öffnen. Eine schwerwiegende Cybersicherheits-Verletzung kann zur vollständigen Kompromittierung der Domäne, zu Ransomware-Angriffen, zum Verlust des Kundenvertrauens, zu Bußgeldern und sogar zu kostspieligen rechtlichen Schritten wie Sammelklagen führen, wenn Benutzerdaten offengelegt werden.

In den letzten Jahren haben nationale Cybersicherheitsbehörden – darunter das deutsche BSI [9], die US-amerikanische Cybersecurity and Infrastructure Security Agency (CISA) [10] und das Canadian Centre for Cyber Security [11] sowie weitere [12][13] – Warnungen herausgegeben, in denen sie die Notwendigkeit betonen, die Sicherheitskonfigurationen von Betriebssystemen zu verbessern und veraltete Funktionen zu deaktivieren, die von Angreifern regelmäßig ausgenutzt werden. Die zunehmende Häufigkeit und Raffinesse der Angriffe durch böswillige Akteure unterstreichen einmal mehr die Notwendigkeit einer proaktiven Windows-Sicherheit.

Fehlkonfigurationen in Windows können eine Kettenreaktion auslösen und sowohl das lokale System als auch das gesamte Netzwerk gefährden. Deshalb müssen Maßnahmen zur Absicherung über das Patchen von Schwachstellen hinausgehen und ein robustes Konfigurationsmanagement umfassen. Die neue CIS Windows 11 Enterprise-Compliance-Richtlinie von Greenbone bietet Verteidigern die Tools, die sie benötigen, um die Widerstandsfähigkeit gegen viele kritische IT-Sicherheitslücken zu stärken.

Wie verbessert der CIS Windows 11 Benchmark die Cybersicherheit?

Der CIS Microsoft Windows 11 Enterprise Benchmark bietet einen strukturierten Ansatz zur Sicherung von Microsoft Windows-Endpunkten. Er definiert Konfigurationseinstellungen, die für unbefugten Zugriff, Missbrauch von Berechtigungen und Systemkompromittierung verwendet werden könnten. Der Benchmark überprüft eine Vielzahl von Richtlinien, darunter Kontosicherheit, Systemdienste, Netzwerkkonfigurationen, Anwendungskontrollen und Verwaltungsvorlagen, um die Angriffsfläche zu verringern und die Systemintegrität zu verbessern.

Die wichtigsten Abschnitte des CIS Windows 11 Benchmarks:

  • Account Policies: Definiert Richtlinien für die Komplexität, den Verlauf und das Ablaufdatum von Passwörtern sowie für die Schwellenwerte für die Kontosperrung. Diese Einstellungen tragen zur Durchsetzung einer strengen Authentifizierungshygiene bei und schränken Brute-Force-Angriffe ein.
  • Lokale Richtlinien: Konzentriert sich auf die Durchsetzung einer Vielzahl von lokalen Zugriffskontrollen und Systemverhalten. Umfasst Audit-Einstellungen, Benutzerrechte (z. B. wer sich lokal anmelden oder das System herunterfahren darf) und Sicherheitsoptionen (z. B. Gastkontostatus, Zugriffstoken, Netzwerkzugriff, Gerätetreiber, Firmware-Optionen und Kryptografie-Anforderungen) und vieles mehr.
  • Systemdienste: Reduziert die Angriffsfläche durch Einschränkung aktiver Systemkomponenten. Empfiehlt die Deaktivierung oder Konfiguration von Windows-Diensten, die möglicherweise unnötig sind oder das System Risiken aussetzen (z. B. Remote-Registrierung, FTP, Bluetooth, OpenSSH, Geolocation-Service und mehr).
  • Windows Defender-Firewall mit erweiterter Sicherheit: Umfasst Firewall-Konfigurationen für Domain-Profile sowie private und öffentliche Profile. Enthält Regeln für die Protokollierung, Verbindungsbeschränkungen und das Blockieren unerwünscht eingehenden Datenverkehrs, um die Netzwerksegmentierung und Traffic-Kontrolle durchzusetzen.
  • Erweiterte Konfiguration der Überwachungsrichtlinien: Bietet detaillierte Überwachungseinstellungen für Kategorien wie Anmeldeereignisse, Objektzugriff und Richtlinienänderungen, um die Transparenz und Compliance zu verbessern.
  • Administrative Vorlagen (Computer): Umfasst Gruppenrichtlinieneinstellungen auf Computerebene, einschließlich UI-Einschränkungen, Steuerung älterer Protokolle, SMB-Hardening, UAC-Verhalten und Gerätekonfiguration.
  • Administrative Vorlagen (Benutzer): Konzentriert sich auf Richtlinien auf Benutzerebene, die sich auf Personalisierung, Datenschutz, Desktop-Verhalten, Windows-Komponenten, Telemetrie, Cloud-Inhalte, Suche und den Zugriff auf den Microsoft Store auswirken.

Greenbone ist Mitglied des CIS-Konsortiums

Als Mitglied des CIS-Konsortiums verpflichtet sich Greenbone, zusätzliche Scan-Konfigurationen hinzuzufügen, um CIS-Benchmarks zu bestätigen. Alle unsere CIS-Benchmark-Richtlinien entsprechen den CIS-Hardening-Richtlinien und sind von CIS zertifiziert, wodurch maximale Sicherheit für Systemaudits gewährleistet ist. Greenbone verfügt außerdem über eine spezielle Compliance-Ansicht für die Weboberfläche des Greenbone Security Assistant (GSA), um den Bewertungsprozess für Unternehmen zu optimieren.

Zusammenfassung

Die Sicherung von Microsoft Windows 11 Enterprise erfordert mehr als nur das Patchen von Schwachstellen – sie erfordert einen disziplinierten Ansatz für das Konfigurationsmanagement auf der Grundlage bewährter Best Practices. Durch die Absicherung versteckter Systemeinstellungen und die Deaktivierung unnötiger Funktionen können Sicherheitsteams Exploit-Pfade verhindern, die häufig von Angreifern genutzt werden, um Ransomware zu verbreiten, Daten zu herauszufiltern oder sich dauerhaft im Netzwerk einzunisten. 

Mit der zusätzlichen Unterstützung für den CIS Microsoft Windows 11 Enterprise Benchmark v3.0.0 stärkt Greenbone die Position als führender Anbieter proaktiver Cybersicherheit und bietet Unternehmen die Tools, die sie benötigen, um Risiken zu reduzieren, Compliance nachzuweisen und in einer zunehmend feindseligen digitalen Landschaft widerstandsfähig zu bleiben. Abonnenten des Enterprise Feed können nun ihre Windows 11-Konfigurationen präzise und zuverlässig überprüfen und verifizieren.

Kontakt Kostenlos testen Hier kaufen Zurück zur Übersicht

/von
Markus Feilner

Dwell Time: Angreifer schlagen schneller zu und tarnen sich immer besser

Sicherheitsexperten beobachten eine Besorgnis erregende Entwicklung: Die Time to Exploit (TTE), also die Zeit zwischen dem Bekanntwerden einer Sicherheitslücke und ihrem Ausnutzen durch böswillige Akteure, sinkt in der letzten Zeit massiv.

Gleichzeitig zeigen Angreifer immer größere Kompetenz beim Verbergen ihrer Anwesenheit in einem erfolgreich gehackten Netzwerk. Die Zeit, um sich einzunisten und sodann unbefugt auf Unternehmensressourcen zuzugreifen, bevor sie entdeckt (und entfernt) werden, nennen Experten „Dwell time“, also Verweildauer. Je kürzer diese ist, umso besser für die Angegriffenen. Auch der begabteste Hacker braucht Zeit und kann umso mehr (dauerhaften) Schaden anrichten, je länger er unbemerkt und unbeobachtet bleibt.

Der Feind hört mit – und ist vielleicht schon da

Erschreckenderweise erreicht die Dwell Time immer häufiger Monate oder gar Jahre, so wie bereits bei Sony oder im US-Office for Personal Management. Dort konnten Angreifer mehr als zwölf Monate ungestört agieren. Bei dem japanischen Technologiekonzern flossen in der Folge sogar über 10 Terabyte an Daten ab.

Die Angst vor verborgenen Eindringlingen ist groß, schließlich kann niemand mit Sicherheit sagen, ob sich nicht bereits ein bösartiger Zuhörer im eigenen Netzwerk befindet. Das kommt vor. Schon beim Bundestagshack 2015 zum Beispiel informierte nicht das eigene Monitoring, sondern ein „befreundeter“ Geheimdienst die deutschen Behörden über seltsame Aktivitäten Dritter (russische APT-Hackergruppen) im Bundestagsnetz. Wie lange und wie viele Akteure zu dem Zeitpunkt sich bereits im Netzwerk getummelt hatten, blieb offen. Klar war nur: Es waren mehr als einer, und die befreundeten Geheimdienste hatten schon länger zugeschaut.

Erkennung, Prävention und Reaktion immer kritischer

Umso wichtiger ist es, dafür Sorge zu tragen, dass die Angreifer erst gar nicht ins System gelangen. Das aber wird immer schwieriger: Wie unter anderen die Experten von Googles Mandiant berichten, ist in den letzten fünf Jahren die Reaktionszeit, die Unternehmen und Softwarebetreibern zwischen dem Bekanntwerden einer Schwachstelle und dem Exploit bleibt, in den letzten Jahren rapide gefallen: von 63 Tagen 2018 auf gut einen Monat.

Immer weniger Zeit zum Reagieren

2023 blieben Administratoren schon nur mehr fünf Tage im Durchschnitt, um Schwachstellen zu bemerken und zu schließen. Heute sind es bereits weniger als drei Tage.

Damit nicht genug. Früher wurden Sicherheitslücken häufiger erst ausgenutzt, nachdem Patches verfügbar waren, also nachdem sich erfahrene Administratoren bereits abgesichert und die aktuellen Patches eingespielt hatten. Eigentlich sollten diese so genannten „N-day Vulnerabilities“ also gar kein Problem sein, gibt es doch Fixes dafür.

Verbesserte Disziplin mit Nebenwirkungen: Angreifer lernen

Leider war in der Vergangenheit die Disziplin (und die Aufmerksamkeit) in vielen Unternehmen nicht so ausgeprägt, man vernachlässigte das Thema und sorgte so unfreiwillig auch für weitere Verbreitung von automatisierten Angriffsmethoden, etwa mithilfe von Würmern und Viren. Gerade hier gibt es auch gute Nachrichten: 2022 machten die Attacken über die N-Day-Schwachstellen noch 38 % aller Angriffe aus, 2023 nur noch 30 %.

Auf den ersten Blick klingt das gut, weil Administratoren bekannte Schwachstellen, für die es Patches gibt, schneller und besser finden und fixen. Nach Jahren mit eher schlecht ausgeprägter Disziplin und mangelnder Update- und Patch-Strategie haben sicher auch die großen und erfolgreichen Ransomware-Vorfälle dazu beigetragen, einer Mehrheit von Verantwortlichen die Tragweite und Bedeutung von ordentlichem Schwachstellenmanagement zu vermitteln.

Zwei Drittel sind mittlerweile Zero-Days

Aber die Zahlen haben auch eine Kehrseite: Mehr als zwei Drittel aller Angriffe basieren mittlerweile auf „Zero-Day“-Schwachstellen, also Sicherheitslücken, für die es noch keinen Patch gibt – 2023 waren das sogar schon 70 %. Die kriminellen Gruppen und Angreifer haben reagiert, gelernt und ihre Machenschaften professionalisiert, automatisiert und gewaltig beschleunigt.

Ohne Automatisierung und Standardisierung von Prozessen, ohne moderne, gepflegte und kontrollierte Open-Source-Software können Admins der Entwicklung kaum mehr Paroli gebieten. Wer kann schon behaupten, er sei in der Lage, binnen drei Tagen auf eine neue Bedrohung zu reagieren?

Machtlos? Nicht mit Greenbone

Wenn Angreifer schneller auf neue, bis dato unbekannte Schwachstellen reagieren können und sich dann auch noch besser zu verstecken gelernt haben, kann es nur eine Antwort geben: den Einsatz eines professionellen Schwachstellenmanagements. Mit Lösungen von Greenbone lässt sich das Netzwerk automatisiert testen. Mit Berichten über den Erfolg von Maßnahmen erhalten Administratoren damit einen schnellen Überblick über den aktuellen Sicherheitsstatus Ihres Unternehmens.

Kontakt Kostenlos testen Hier kaufen Zurück zur Übersicht

/von
Joseph Lee

Angreifer nutzen zwei neue Ivanti EPMM-Schwachstellen aus

Erst im vergangenen Monat wurde die Schwachstelle CVE-2025-22457 (CVSS 9.8), die Ivanti Connect Secure, Policy Secure und ZTA Gateways betrifft, als Vektor für Ransomware erkannt. Jetzt wurden zwei neue CVEs zur wachsenden Liste der risikoreichen Ivanti-Schwachstellen hinzugefügt: CVE-2025-4427 und CVE-2025-4428, die Ivanti EPMM (Endpoint and Patch Management Mobile) betreffen, werden aktiv ausgenutzt.

Greenbone beinhaltet aktive Tests zur Prüfung und Versionserkennung, die sowohl die neuen CVEs als auch viele andere Schwachstellen in Ivanti-Produkten adressieren. So können Benutzer verwundbare Instanzen identifizieren, mit dem Patch-Prozess fortfahren und die Sicherheitskonformität überprüfen, sobald die Patches angewendet wurden. In diesem Blogbeitrag gehen wir auf die technischen Details der beiden neuen CVEs ein und bewerten die Rolle, die Ivanti im globalen Cyber-Risikokalkül gespielt hat.

CVEs in Ivanti EPMM für unautorisierten Zugriff

Zum Zeitpunkt der Offenlegung gab Ivanti zu, dass EPMM-Kunden mit inhouse installierten Lösungen bereits angegriffen wurden. Das Cloud-Sicherheitsunternehmen Wiz erklärt, dass jedoch auch selbst verwaltete Cloud-Instanzen von Angreifern effektiv ausgenutzt wurden. Eine vollständige technische Beschreibung der Angriffskette ist öffentlich zugänglich, was die Entwicklung von Exploits für Angreifer erleichtert und das Risiko weiter erhöht.

Hier eine kurze Zusammenfassung der einzelnen Schwachstellen:

  • CVE-2025-4427 (CVSS 5.3): Eine Umgehung der Authentifizierung in der API-Komponente von Ivanti EPMM 12.5.0.0 und früher ermöglicht Angreifern den Zugriff auf geschützte Ressourcen ohne entsprechende Anmeldeinformationen über die API.
  • CVE-2025-4428 (CVSS 7.2): Remote Code Execution (RCE) in der API-Komponente von Ivanti EPMM 12.5.0.0 und früher erlaubt authentifizierten Angreifern die Ausführung von beliebigem Code über manipulierte API-Requests.

Ivanti hat Patches veröffentlicht, um die Schwachstellen zu beheben. Benutzer sollten EPMM mindestens auf Version 11.12.0.5, 12.3.0.2, 12.4.0.2 oder 12.5.0.1 aktualisieren. Wenn ein sofortiges Patchen nicht möglich ist, empfiehlt Ivanti, den API-Zugriff entweder mit den integrierten Portal-ACLs (Access Control Lists mit dem Typ „API Connection“) oder einer externen WAF (Web Application Firewall) einzuschränken. Von netzwerkbasierten ACLs rät der Hersteller ab, da sie einige EPMM-Funktionen blockieren können. Diese Maßnahmen verringern zwar das Risiko, können aber die Funktionalität bestimmter EPMM-Integrationen, wie Microsoft Autopilot und Graph API, beeinträchtigen. Ivanti bietet auch eine RPM-Datei an, die zum Patchen von EPMM über den Command Line Access via SSH verwendet werden kann.

Die Invanti EPMM Exploit-Kette

Die Exploit-Kette in Ivanti EPMM beginnt mit CVE-2025-4427. Aufgrund einer unsicheren Konfiguration in der Datei security.xml in der Anwendung verarbeiten bestimmte Endpunkte (insbesondere /rs/api/v2/featureusage) die Anfragen teilweise, wenn der Parameter format angegeben wird. Diese Pre-Auth-Verarbeitung ermöglichte es nicht authentifizierten Anfragen, auf Funktionen zuzugreifen, die geschützt sein sollten. Dieser durch CVE-2025-4427 verursachte Fehler in der Zugriffskontrolle schafft die Voraussetzungen für RCE über CVE-2025-4428.

CVE-2025-4428 ermöglicht RCE mithilfe einer EL-Injection (Expression Language) in HTTP-Anfragen. Wenn der in einem Request übergebene Parameter format gemäß der EPMM-Spezifikation ungültig ist (weder „cve“ noch „json“), wird sein Wert ohne Bereinigung an eine Fehlermeldung angehängt und über die Message Templating Engine von Spring Framework protokolliert. Durch die Bereitstellung speziell gestalteter Werte im Format-Parameter können Angreifer beliebigen Java-Code ausführen, da die protokollierte Nachricht als EL-formatierter String gewertet wird.

Forscher haben darauf hingewiesen, dass diese Risiken im Zusammenhang mit Nachrichten-Templating-Engines gut dokumentiert sind, und haben die Behauptungen von Ivanti zurückgewiesen, dass die Schwachstelle auf einen Fehler in einer Bibliothek eines Drittanbieters zurückzuführen ist und nicht auf ein eigenes Versehen. Wenn Ihnen die Bedingungen, die zur Ausnutzung von CVE-2025-4428 führen, bekannt vorkommen, erinnern sie an die berüchtigte Log4Shell-Schwachstelle. Wie Log4Shell resultiert CVE-2025-4428 aus der Übergabe von unbereinigten Benutzereingaben an eine Expression Engine, die spezielle Befehle aus einer formatierten Zeichenfolge interpretiert. Im Fall von Log4Shell könnte eine böswillige String-Formatierung in JNDI-Lookups (z. B. ${jndi:ldap://…}) einen RCE auslösen.

Risikobewertung: Angreifer dringen über Ivanti-Lücken vor

Ivanti steht seit einigen Jahren in der Kritik. Angreifer haben häufig Schwachstellen in den Produkten von Ivanti ausgenutzt, um sich Zugang zu den Netzwerken ihrer Opfer zu verschaffen. Über alle Produktlinien hinweg hat der Anbieter seit Anfang 2023 61 CVEs mit kritischem Schweregrad (CVSS >= 9.0) erhalten. 30 davon wurden in den KEV-Katalog (Known Exploited Vulnerabilities) der CISA (Cybersecurity and Infrastructure Security Agency) aufgenommen, obwohl die tatsächliche Zahl der aktiv ausgenutzten Schwachstellen höher sein dürfte. Ivanti CVEs haben eine hohe Konversionsrate für die Verwendung in Ransomware-Angriffen. CISA verzeichnet acht CVEs in dieser Kategorie.

Anfang 2024 gaben die ENISA, CERT-EU und Europol eine gemeinsame Erklärung zur aktiven Ausnutzung der Produkte Ivanti Connect Secure und Policy Secure Gateway ab. In den USA wies die CISA alle zivilen Bundesbehörden an, diese Produkte vom Netz zu nehmen und davon auszugehen, dass sie missbraucht worden waren [1][2]. Die CISA, das FBI und Cybersicherheitsbehörden aus Großbritannien, Australien und Kanada gaben eine gemeinsame Meldung heraus, in der sie vor den laufenden Angriffen warnten. Ende 2024 warnte die CISA zusätzlich vor einer aktiven Ausnutzung der Ivanti Cloud Service Appliances (CSA) und wies darauf hin, dass sowohl staatlich finanzierte als auch finanziell motivierte Bedrohungsakteure erfolgreich auf nicht gepatchte Systeme abzielten.

Am 8. Januar 2025 warnte die CISA davor, dass die neu veröffentlichten Sicherheitskücken CVE-2025-0282 und CVE-2025-0283 in Ivanti Connect Secure, Policy Secure und ZTA Gateways ebenfalls aktiv ausgenutzt werden. Leider verwendeten Angreifer bis weit in das Jahr 2025 hinein neue Schwachstellen in Ivanti-Produkten, darunter CVE-2025-22457 [3][4] sowie jetzt die zwei neuen CVEs in EPMM (siehe oben).

Dennis Kozak hat Jeff Abbott mit Wirkung vom 1. Januar 2025 als CEO von Ivanti abgelöst, obwohl Jeff Abbott schon ab Mitte 2024 eine verbesserte Produktsicherheit zugesagt hatte. Es wurde keine öffentliche Erklärung abgegeben, in der die Nachfolge mit den Sicherheitsproblemen des Unternehmens aus Utah in Verbindung gebracht wurde, allerdings geschah dies nur wenige Wochen vor der Ablösung. Die Führungskräfte wurden nicht aufgefordert, vor dem US-Kongress auszusagen, wie es viele andere Führungskräfte im Bereich der Cybersicherheit nach hochriskanten Vorfällen getan haben, darunter Sudhakar Ramakrishna, CEO von SolarWinds, Brad Smith, Präsident von Microsoft, und George Kurtz, CEO von CrowdStrike.

Echos aus der Vergangenheit von EPMM: CVE-2023-35078 und CVE-2023-35082

Zusätzlich zu den oben beschriebenen Schwachstellen ermöglichten CVE-2023-35078 (CVSS 9.8) und CVE-2023-35082 (CVSS 9.8), die im Juli bzw. August 2023 veröffentlicht wurden, unauthentifizierte RCE für Ivanti EPMM. Die breite Ausnutzung begann fast unmittelbar nach ihrer Veröffentlichung im Jahr 2023.

CVE-2023-35078 wurde ausgenutzt, um in die norwegische Regierung einzudringen und die Daten von zwölf Ministerien zu kompromittieren [3][4]. Die CISA gab eine dringende Empfehlung (AA23-214A) heraus, in der sie auf die bestätigte Ausnutzung durch APT-Akteure (Advanced Persistent Threats) hinwies und allen Bundesbehörden riet, sofortige Maßnahmen zur Schadensbegrenzung zu ergreifen. Selbst im Jahr 2023 unterstrichen die Geschwindigkeit und das Ausmaß der Angriffe das wachsende Profil von Ivanti als Wiederholungstäter, der Spionage und finanziell motivierte Cyberkriminalität ermöglicht.

Zusammenfassung

Ivanti EPMM ist anfällig für zwei neue Schwachstellen: CVE-2025-4427 und CVE-2025-4428 können für unautorisierte RCE kombiniert werden. Sie werden derzeit aktiv ausgenutzt und unterstreichen ein beunruhigendes Muster von hochgradig gefährlichen Schwachstellen in Ivanti-Produkten. Ivanti hat Patches veröffentlicht, um die Schwachstellen zu beheben, und Benutzer sollten EPMM mindestens auf Version 11.12.0.5, 12.3.0.2, 12.4.0.2 oder 12.5.0.1 aktualisieren.

Die Fähigkeiten von Greenbone zur Erkennung von Schwachstellen umfassen auch Tests für CVE-2025-4427 und CVE-2025-4428, die es Ivanti EPMM-Benutzern ermöglichen, alle anfälligen Instanzen zu identifizieren und die Einhaltung der Sicherheitsvorschriften zu überprüfen, sobald die Patches angewendet wurden.

Kontakt Kostenlos testen Hier kaufen Zurück zur Übersicht

/von
Greenbone AG

Greenbone reduziert die Folgeschäden eines Cyberangriffs

Cyberangriffe können in ihrem Ausmaß und ihren Auswirkungen dramatisch sein, wie die meisten Sicherheitsvorfälle. Sind die Verteidiger vorbereitet, kann ein Vorfall eingedämmt und der Schaden begrenzt werden, die Wiederherstellung erfolgt dann zügig. Wenn sie jedoch unvorbereitet sind, kann ein einziger Vorfall zu tage- oder wochenlangen Ausfallzeiten, Umsatzeinbußen, Rufschädigung, behördlichen Strafen oder Sammelklagen führen [1][2]. Im Mai 2024 prognostizierte Change Healthcare einen Verlust von 1,6 Milliarden Dollar. Im Januar 2025 beliefen sich die Gesamtkosten des Ransomware-Angriffs von Change Healthcare auf fast 3 Milliarden Dollar [3][4].

Die Gesamtheit der Schäden, die durch eine IT-Sicherheitsverletzung verursacht werden, der sogenannte „Blast Radius“, hängt von vielen Faktoren ab. Zu diesen Faktoren gehört, ob Schwachstellen verwaltet werden, ob ein „Defense-in-Depth“-Ansatz für die Cybersicherheit angewandt wurde, ob das Netzwerk segmentiert ist, ob es wirksame Backup-Strategien gibt und vieles mehr. Eine nachlässige Sicherheitshygiene ist eine offene Einladung für Angreifer, die zu kostspieligen Ergebnissen führt: etwa zu umfangreichem Datendiebstahl, Erpressung durch Ransomware und sogar zerstörerischen Wiper-Angriffen, die zur industriellen Sabotage eingesetzt werden. Ein kürzlich veröffentlichter Bericht hat ergeben, dass Angreifer, sobald sie in ein Netzwerk eingedrungen sind, Ransomware im Durchschnitt innerhalb von 48 Minuten einsetzen und CVE-Enthüllungen innerhalb von 18 Tagen in Exploits umgewandelt werden.

Dieser Artikel befasst sich mit dem Konzept des „Blast Radius“ von Cyberangriffen und der Rolle, die ein effektives Schwachstellenmanagement bei der Eindämmung der Folgen von Cyberangriffen spielt. Mit den richtigen Kontrollen kann der Schaden eines Cyberangriffs minimiert und die schlimmsten Konsequenzen verhindert werden.

Der „Blast Radius“ eines Cyberangriffs

Der Begriff „Blast Radius“ (Explosionsradius) stammt aus dem Militärjargon und bezieht sich auf das physische Umfeld, das durch eine explodierende Bombe beschädigt wird. Bei digitalen Systemen bezieht sich der Begriff in ähnlicher Weise auf das Ausmaß des durch einen Cyberangriff verursachten Schadens. Wie viele Systeme hat ein Angreifer kompromittiert? War er in der Lage, nach dem ersten Zugriff kritische Systeme zu kompromittieren? Wurden benachbarte Netze oder Cloud-Systeme angegriffen?

Weitreichende Schäden sind nicht von vornherein ausgeschlossen, wenn Hacker den ersten Zugang erhalten. Verteidiger können den Angriff in einem frühen Stadium wirksam abwehren und verhindern, dass böswillige Akteure ihre eigentlichen Ziele erreichen oder weitreichende Schäden verursachen.

Die Folgen eines größeren Schadens-Radius

Zwar ist es schlimm, wenn ein Gegner unbefugten Zugang erhält, aber es sind die nachfolgenden Phasen eines Angriffs, die IT-Sicherheitsmanager nachts wachhalten. Die letzten Phasen eines Cyberangriffs, wie zum Beispiel die Installation von Malware auf kritischen Anlagen, das Exfiltrieren sensibler Daten oder die Verschlüsselung von Dateien, haben die tiefgreifendsten Auswirkungen für Unternehmen. Je größer der Blast Radius ist, desto wahrscheinlicher ist es, dass ein Unternehmen erhebliche negative Auswirkungen zu spüren bekommt.

Ein größerer Schadens-Radius kann Folgendes nach sich ziehen:

  • Längere Verweildauer: Durch seitliche Bewegungen im Netzwerk und Persistenz-Techniken können Angreifer für längere Zeit unentdeckt bleiben, Informationen sammeln und weitere Angriffe vorbereiten.
  • Erhöhte finanzielle Verluste: Service-Unterbrechungen und Ransomware-Angriffe tragen zu höheren finanziellen Verlusten, entgangenen Einnahmen aufgrund von Ausfallzeiten, dem Risiko gesetzlicher Strafen und der Erosion von Geschäftsbeziehungen bei.
  • Erhöhte betriebliche Ausfallzeiten: Die Auswirkungen von Betriebsausfällen können sich auf das gesamte Unternehmen auswirken und zu Verzögerungen, Frustration und Desynchronisierung der Abläufe führen.
  • Verlust von sensiblen Daten: Angreifer versuchen, sensible Daten herauszufiltern, um Spionagekampagnen zu unterstützen oder Opfer zur Zahlung von Lösegeld zu erpressen.
  • Beeinträchtigtes Vertrauen: Unbefugter Zugriff auf Messaging-Systeme oder Vermögenswerte Dritter kann das Vertrauen der Beteiligten, einschließlich Kunden, Mitarbeiter und Geschäftspartner, untergraben.

Greenbone reduziert den „Blast Radius“ eines Cyberangriffs

Schwachstellenmanagement ist ein wichtiger Faktor bei der Reduzierung des so genannten „Blast Radius“. Durch die wirksame Beseitigung von Sicherheitslücken kann ein Angreifer keine leicht zugänglichen Mittel mehr finden, um seine anfängliche Position auszubauen. Schwachstellenmanagement lässt sich am effizientesten und effektivsten durch automatisches Scannen auf Sicherheitslücken in der gesamten Netzwerkinfrastruktur und die Behebung der Angriffsfläche umsetzen. Auf diese Weise können Unternehmen den potenziellen Wirkungskreis eines erfolgreichen Cyberangriffs erheblich reduzieren und auch die Wahrscheinlichkeit verringern, dass es überhaupt zu einem Einbruch kommt.

Threat Mapping hilft IT-Sicherheitsteams, ihre Angriffsflächen zu verstehen, also die Stellen, an denen Angreifer in ein Netzwerk eindringen können. Die Kernfunktionen von Greenbone unterstützen das Threat Mapping mit System- und Service-Discovery-Scans und durch das Scannen von Netzwerk- und Host-Angriffsflächen, wodurch Verteidiger ihre Angriffsfläche um 99 % reduzieren können. Darüber hinaus bietet Greenbone Reports und Warnungen in Echtzeit, um Sicherheitsteams über aufkommende Bedrohungen auf dem Laufenden zu halten und so eine proaktive Cybersicherheitshaltung und rechtzeitige Abhilfemaßnahmen zu ermöglichen. Dieser proaktive, mehrschichtige Ansatz zur Cybersicherheit reduziert den potenziellen Schadensumfang und führt zu besseren Sicherheitsergebnissen. Den Verteidigern bleibt mehr Zeit, die Präsenz eines Angreifers zu erkennen und ihn zu eliminieren, bevor katastrophale Schäden entstehen können.

Stärkste Verteidigung mit Greenbone Enterprise Feed

Der stärkste Schutz kommt aus dem branchenführenden Enterprise Vulnerability Feed von Greenbone. Insgesamt umfasst der Greenbone Enterprise Feed circa 180.000 Schwachstellentests (Tendenz steigend), die sowohl allgemeine Schwachstellen bei der Einhaltung von Sicherheitsvorschriften als auch anwendungsspezifische Schwachstellen aufdecken können. Unser Enterprise Feed fügt jede Woche hunderte von neuen Tests hinzu, um die neuesten Bedrohungen zu erkennen.

Hier eine Liste der IT-Assets, die Greenbone scannen kann:

  • Interne Netzwerkinfrastruktur: Scannen von internen Netzwerkgeräten mit jeder Art von offenem Dienst, wie Datenbanken, Dateifreigaben, SNMP-fähige Geräte, Firewalls, Router, VPN-Gateways und mehr.
  • Vor-Ort- und Cloud-Server: Überprüfung von Serverkonfigurationen, um die Einhaltung von Sicherheitsrichtlinien und -standards zu gewährleisten.
  • Workstations: Greenbone scannt Workstations und andere Endpunkte unter allen wichtigen Betriebssystemen (Windows, Linux und macOS), um das Vorhandensein bekannter Softwareschwachstellen zu identifizieren und die Einhaltung von Cybersicherheitsstandards wie CIS Benchmark-Controls zu bestätigen.
  • IoT- und Peripheriegeräte: IoT- und Peripheriegeräte, wie z. B. Drucker, verwenden dieselben Netzwerkprotokolle für die Kommunikation wie andere Netzwerkdienste. Dadurch können sie ähnlich wie andere Netzwerk-Endpunkte leicht auf geräte- und anwendungsspezifische Schwachstellen und häufige Fehlkonfigurationen gescannt werden.

Reduzierung der Angriffsfläche von Netzwerken

Die Angriffsfläche eines Netzwerks besteht aus exponierten Netzwerkdiensten, APIs und Websites innerhalb der internen Netzwerkumgebung eines Unternehmens und der öffentlichen Infrastruktur. Zum Scannen von Netzwerk-Angriffsflächen erstellt Greenbone ein Inventar von Endpunkten und Listening Services innerhalb eines oder mehrerer Ziel-IP-Bereiche oder eine Liste von Hostnamen und scannt dann nach bekannten Schwachstellen.

Die Netzwerk-Schwachstellen-Tests (NVTs) von Greenbone bestehen aus Versionsprüfungen und aktiven Prüfungen. Versionsprüfungen fragen den Dienst nach einer Versionszeichenfolge ab und vergleichen diese dann mit den entsprechenden CVEs. Aktive Checks verwenden Netzwerkprotokolle, um mit dem exponierten Dienst zu interagieren und zu überprüfen, ob bekannte Exploit-Techniken wirksam sind. Diese aktiven Prüfungen verwenden dieselben Netzwerkkommunikationstechniken wie reale Cyberangriffe, versuchen aber nicht, die Schwachstelle auszunutzen. Stattdessen teilen sie dem Sicherheitsteam lediglich mit, dass ein bestimmter Angriff möglich ist. Alles, was ein Angreifer über das Internet oder ein lokales Netzwerk erreichen kann, kann von Greenbone auf Schwachstellen untersucht werden.

Reduzierung der Angriffsfläche von Hosts

Die Host-Angriffsfläche besteht aus der Software und den Konfigurationen innerhalb einzelner Systeme, auf die nicht direkt über das Netz zugegriffen werden kann. Die Reduzierung der Host-Angriffsfläche minimiert, was ein Angreifer mit dem ersten Zugriff tun kann. Die authentifizierten Scans von Greenbone führen lokale Sicherheitsprüfungen (Local Security Checks, LSC) durch, um die internen Komponenten eines Systems auf bekannte Schwachstellen und nicht konforme Konfigurationen zu prüfen, die es Angreifern ermöglichen könnten, ihre Privilegien zu erweitern, auf sensible Informationen zuzugreifen, zusätzliche Malware zu installieren oder sich seitlich auf andere Systeme zu bewegen.

Greenbones Enterprise Feed umfasst LSC-Familien für alle wichtigen Betriebssysteme wie Ubuntu, Debian, Fedora, Red Hat, Huawei, SuSE Linux-Distributionen, Microsoft Windows, macOS und viele mehr.

Post-Breach-Taktiken: Die zweite Phase von Cyberangriffen

Sobald Angreifer im Netzwerk eines Opfers Fuß gefasst haben, wenden sie sekundäre Exploitation-Techniken an, um ihren Zugang zu vertiefen und ihre Ziele zu erreichen. Im modernen Ökosystem der Cyberkriminalität sind Initial Access Brokers (IABs) darauf spezialisiert, sich unerlaubten Zugang zu verschaffen. IABs verkaufen diesen Zugang dann an andere cyberkriminelle Gruppen, die sich auf Angriffstaktiken der zweiten Stufe spezialisiert haben, wie zum Beispiel den Einsatz von Ransomware oder Datendiebstahl. Ähnlich wie beim Durchbrechen der Mauern einer Festung wird das interne Netzwerk eines Unternehmens nach dem ersten Zugriff für Angreifer immer zugänglicher.

Zu den Taktiken, die in der zweiten Phase eines Cyberangriffs eingesetzt werden, gehören:

  • Eskalation von Privilegien [TA0004]: Angreifer suchen nach Möglichkeiten, ihre Zugriffsrechte auszuweiten, sodass sie Zugang zu sensibleren Daten erhalten oder administrative Aktionen ausführen können.
  • Seitliche Bewegung [TA0008]: Angreifer kompromittieren andere Systeme innerhalb des Netzwerks des Opfers und erweitern ihren Zugang zu hochwertigen Ressourcen.
  • Dauerhafter Fernzugriff [TA0028]: Durch die Erstellung neuer Konten, die Bereitstellung von Hintertüren oder die Verwendung kompromittierter Anmeldeinformationen versuchen Angreifer, ihren Zugang aufrechtzuerhalten, selbst wenn die ursprüngliche Schwachstelle behoben oder ihre Anwesenheit entdeckt wurde.
  • Diebstahl von Zugangsdaten [TA0006]: Gestohlene sensible Daten können offline von Angreifern verarbeitet werden, die versuchen, Passwörter zu knacken, in geschützte Ressourcen einzudringen oder Social-Engineering-Angriffe zu planen.
  • Zugriff auf Messaging-Systeme [T1636]: Der Zugriff auf Messaging-Plattformen oder Tools für die Zusammenarbeit in Unternehmen ermöglicht den Zugang zu sensiblen Informationen, die zur Durchführung von Social-Engineering-Angriffen wie Spear-Phishing genutzt werden können, die sich sogar gegen externe Partner oder Kunden richten.
  • Verschlüsselung mit Wirkung [T1486]: Finanziell motivierte Angreifer versuchen, die Auswirkungen zu maximieren, indem sie Ransomware einsetzen und das Opfer erpressen, damit es den Zugriff auf die verschlüsselten Daten zurückgibt.
  • Daten-Exfiltration [TA0010]: Das Herunterladen sensibler Daten eines Opfers kann für Spionagezwecke genutzt werden und gibt Angreifern außerdem ein Druckmittel in die Hand, um Opfer zu erpressen, damit sie für die Nichtveröffentlichung der Daten bezahlen.
  • Denial-of-Service-Angriffe [T0814]: Die Unterbrechung eines Services kann für weitere Erpressungen oder als Ablenkung für andere Angriffe im Netzwerk des Opfers genutzt werden.

Zusammenfassung

Der „Blast Radius“ bezieht sich auf den Umfang des Schadens, den ein Angreifer bei einem Cyberangriff verursacht. Je weiter die Angriffe fortschreiten, desto tiefer versuchen die Angreifer einzudringen und sich Zugang zu sensibleren Systemen und Daten zu verschaffen. Mangelnde Cyber-Hygiene lässt Angreifern freie Hand, um Daten zu stehlen, Ransomware einzusetzen und Service-Unterbrechungen zu verursachen und erschwert zudem die Erkennung und Wiederherstellung. Die Minimierung der Angriffsfläche ist entscheidend für die Verringerung der potenziellen Auswirkungen eines Cyberangriffs und trägt zu einem besseren Sicherheitsergebnis bei.

Der Hauptbeitrag von Greenbone zur Cybersicherheit besteht darin, die Sicherheitstransparenz in Echtzeit zu erhöhen, Verteidiger auf Schwachstellen aufmerksam zu machen und ihnen die Möglichkeit zu geben, Sicherheitslücken zu schließen und Hacker daran zu hindern, diese auszunutzen. Dies umfasst sowohl die Angriffsfläche des Netzwerks: öffentlich zugängliche Anlagen, interne Netzwerkinfrastruktur, Cloud-Anlagen, als auch die Angriffsfläche des Hosts: interne Softwareanwendungen, Pakete und häufige Fehlkonfigurationen.

Durch die branchenführende Erkennung von Schwachstellen ermöglicht Greenbone eine Echtzeit-Transparenz von Bedrohungen und versetzt Verteidiger in die Lage, proaktiv sicherzustellen, dass Angriffe entscheidend neutralisiert werden.

Kontakt Kostenlos testen Hier kaufen Zurück zur Übersicht

/von
Greenbone AG

Verfügbarkeit von CVE-Schwachstellendaten in Greenbone-Produkten

Die Greenbone AG engagiert sich seit Jahren konsequent für eine unabhängige und resiliente Versorgungskette bei der Bereitstellung von Schwachstellendaten. Vor dem Hintergrund aktueller Diskussionen zur Finanzierung und Zukunftsfähigkeit des CVE-Programms der US-amerikanischen Organisation MITRE möchten wir Sie über unsere Maßnahmen zur Sicherstellung der kontinuierlichen Versorgung mit wichtigen Informationen über Schwachstellen in IT-Systemen informieren.

Das CVE-System bildet seit 1999 die zentrale Grundlage zur eindeutigen Identifikation und Klassifikation von Sicherheitslücken in der IT. Die Finanzierung der zentralen CVE-Datenbank ist derzeit noch bis April 2026 durch die US-Regierung gesichert. Vor diesem Hintergrund hat Greenbone frühzeitig strukturelle Maßnahmen ergriffen, um von einzelnen Datenquellen unabhängiger zu werden.

Mit unserer Marke OPENVAS zählt Greenbone zu den global führenden Open-Source-Anbietern im IT-Security Ökosystem. Wir leisten einen aktiven Beitrag zur Entwicklung nachhaltiger, dezentraler Infrastrukturen für die Bereitstellung von Schwachstelleninformationen – und setzen heute bereits auf zukunftsfähige Konzepte, die unsere Kunden wirksam vor Sicherheitsrisiken schützen.

Unser souveräner Datenansatz umfasst unter anderem folgende Maßnahmen:

  • Breite Quellendiversifikation: Unsere Systeme und unsere Security-Researcher überwachen eine Vielzahl internationaler Informationsquellen, um unabhängig vom offiziellen CVE-Prozess schnell auf neue Bedrohungen reagieren zu können – auch dann, wenn es noch keinen offiziellen CVE-Eintrag gibt.
  • Integration alternativer Datenbanken: Wir binden unabhängige Schwachstellenkataloge wie die Europäische Schwachstellendatenbank (EUVD) in unsere Systeme ein, um eine stabile und geografisch diversifizierte Informationsgrundlage zu schaffen.
  • Förderung offener Standards: Wir unterstützen aktiv die Verbreitung des CSAF-Standards (Common Security Advisory Framework), der eine dezentrale und föderierte Verteilung von Schwachstelleninformationen ermöglicht.

Durch diese Maßnahmen stellen wir sicher, dass unsere Kunden auch bei Veränderungen im internationalen Datenökosystem uneingeschränkt Zugang zu aktuellen Schwachstelleninformationen behalten. So bleiben Ihre IT-Systeme auch künftig umfassend geschützt.

Greenbone steht für eine unabhängige, souveräne und zukunftssichere Versorgung mit wichtigen Informationen über Schwachstellen in IT-Systemen – auch in einem sich wandelnden geopolitischen Umfeld.

Kontakt Kostenlos testen Hier kaufen Zurück zur Übersicht

/von