CVE-2021-23758: Unsichere Deserialisierung in AjaxPro.2 ermöglicht Remote-Code-Ausführung

Zusammenfassung

CVE-2021-23758 betrifft alle Versionen des .NET-Pakets ajaxpro.2. Aufgrund fehlender Validierung können nicht vertrauenswürdige Daten deserialisiert werden, wodurch Angreifer beliebige .NET-Klassen einschleusen können. Dies kann missbraucht werden, um Remote-Code-Ausführung (RCE) auf dem betroffenen Server zu erlangen.

Der CVSS-Score beträgt 8.1 (High), was die hohe Schwere der Schwachstelle widerspiegelt.

Technische Details

Die Schwachstelle liegt in der Deserialisierung nicht vertrauenswürdiger Daten innerhalb von AjaxPro.2. Durch manipulierte Eingaben kann ein Angreifer die Deserialisierung beliebiger .NET-Klassen auslösen. Erfolgreich ausgenutzt, kann dies zur Ausführung von Schadcode auf dem Server führen und damit die vollständige Kompromittierung des betroffenen Systems ermöglichen.

Das Problem wurde im Projekt Ajax.NET-Professional durch einen entsprechenden Commit behoben.

Betroffene Systeme

• Alle Versionen des Pakets ajaxpro.2 (AjaxPro.2)
• Systeme und Anwendungen, die AjaxPro.2 in einer verwundbaren Version einsetzen

Empfehlungen und Maßnahmen

• Patchen bzw. Upgrade auf eine aktualisierte, nicht verwundbare Version von AjaxPro.2 (bzw. Ajax.NET-Professional) durchführen.
• Den bereitgestellten Fix bzw. Commit anwenden, sofern keine neuere Release-Version verfügbar ist.
• Eingaben, die der Deserialisierung zugeführt werden, strikt validieren und nicht vertrauenswürdige Quellen blockieren.
• Beschränken des Zugriffs auf betroffene Endpunkte durch netzwerkbasierte Schutzmechanismen.

Quellen

• https://snyk.io/vuln/SNYK-DOTNET-AJAXPRO2-1925971
• https://github.com/michaelschwarz/Ajax.NET-Professional/commit/b0e63be5f0bb20dfce507cb8a1a9568f6e73de57
• http://packetstormsecurity.com/files/175677/AjaxPro-Deserialization-Remote-Code-Execution.html