HP-Monitoring-Lösung erlaubt Rechte-Ausweitung

HP SiteScope, die agentenlose Monitoring-Lösung von HP, leidet an einem Sicherheitsleck. Durch den Fehler können angemeldete Nutzer, ihre Rechte ausweiten und dann Befehle mit System-Rechten ausführen. Dadurch können Angreifer das Tool SiteScope DNS auch als Angriffsvektor missbrauchen, wie der Sicherheitsanbieter Rapid7 in einem Advisory erklärt.

So sei es in der Default-Einstellung möglich, dass ein Nutzer, den SiteScope-Service unter ‘http://<server-name>:8080/SiteScope/servlet/Main’ aufruft und hier beliebige Befehle auf dem zugrundeliegenden Betriebssystem aufsführt. Systemadministratoren können diesen Dienst auch mit einem Passwort schützen. In so einem Falle wären lediglich authentifizierte Nutzer in der Lage, einen Angriff auszuführen. “Dennoch stellt das einen unerwarteten Zugriff auf das Betriebssystem dar”, so die Sicherheitsexperten von Rapid7 in ihrem Advisory.

Über die Konsole kann ein Angreifer über die Verwundbarkeit in SiteScope DNS in DNS-Requests Befehle für das Betriebssystem einbauen. So kann ein Angreifer über die Anfrage, Google.com aufzulösen einen Befehl einschleusen, über den sich ein neuer Systemadministrator anlegen lässt.
Als Workaround empfiehlt das Sicherheitsunternehmen, lediglich vertrauenswürdigen Personen lokalen Zugriff zu gestatten. Zudem scheint der Fehler auch unter Linux nicht aufzutreten, sofern SiteScope nicht über Root-Rechter auf Linux verfügt.

Unter Windows scheint SiteScope lokalen SYSTEM-Zugriff zu brauchen, um bestimmte Aufgaben durchführen zu können, daher scheinen auch Account Permissions für die Anwendung oder auch für Individuelle Nutzer nicht effektiv zu sein, wie es im Advisory heißt.

Den Fehler hatten die Sicherheitsforscher Kirk Hayes und Charles Riggs am 1. Juni entdeckt. Wenige Tage später wurde HP Tipping Point informiert. Am 9. Oktober hat der Sicherheitsanbieter für den Fehler ein Metaspliot-Modul veröffentlicht.