SecBoard
Zurück zur CVE-Übersicht

CVE-2020-3433

HIGH(7.8)KEV — Aktiv ausgenutzt

CVSS:3.1/AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H

Risk Signal Score53/100 — HOCH
  • CVSS 7.8 — Hoch
  • Im CISA KEV-Katalog (aktiv ausgenutzt)

CISA KEV

Bestätigt ausgenutzt

EPSS-Score

10.0%

Exploit-Wahrscheinlichkeit (30 Tage)

CVSS Score

7.8

Technische Schwere

SecBoard-Einordnung

CVE-2020-3433 betrifft den Cisco AnyConnect Secure Mobility Client für Windows und ermöglicht einem authentifizierten, lokalen Angreifer eine DLL-Hijacking-Attacke. Die Schwachstelle liegt in der unzureichenden Validierung von Ressourcen im Interprozesskommunikationskanal und kann zur Ausführung von beliebigem Code mit SYSTEM-Privilegien führen. Ein Angreifer benötigt gültige Anmeldeinformationen auf dem Windows-System, um diese Schwachstelle auszunutzen.

Die Schwachstelle wird als kritisch eingestuft, mit einem CVSS-Score von 7.8 (HIGH). Besonders besorgniserregend ist, dass sie in der () Datenbank gelistet ist, was bedeutet, dass sie aktiv ausgenutzt wird. Die EPSS-Wahrscheinlichkeit für eine Ausnutzung liegt bei 10%, was im Kontext der aktiven Ausnutzung eine sofortige Reaktion erfordert.

Security-Teams sollten umgehend alle betroffenen Cisco AnyConnect Secure Mobility Client Installationen auf Windows-Systemen patchen. Angesichts der aktiven Ausnutzung und der Möglichkeit zur Privilegienerhöhung auf SYSTEM-Ebene ist dies eine hochprioritäre Maßnahme. Zusätzlich sollte die Überwachung auf ungewöhnliche Aktivitäten im Zusammenhang mit dem AnyConnect-Client verstärkt werden.

KI-gestützte Einordnung auf Basis der NVD-Daten.

Beschreibung

A vulnerability in the interprocess communication (IPC) channel of Cisco AnyConnect Secure Mobility Client for Windows could allow an authenticated, local attacker to perform a DLL hijacking attack. To exploit this vulnerability, the attacker would need to have valid credentials on the Windows system. The vulnerability is due to insufficient validation of resources that are loaded by the application at run time. An attacker could exploit this vulnerability by sending a crafted IPC message to the AnyConnect process. A successful exploit could allow the attacker to execute arbitrary code on the affected machine with SYSTEM privileges. To exploit this vulnerability, the attacker would need to have valid credentials on the Windows system.

Erkennung & Indikatoren

Ausnutzung

Aktiv ausgenutzt (CISA KEV). DLL-Hijacking im IPC-Kanal des Cisco AnyConnect Secure Mobility Client fuer Windows (CWE-427): ein lokaler, authentifizierter Angreifer erreicht Codeausfuehrung mit SYSTEM-Rechten. Beleg: CISA KEV, NVD-Beschreibung.

Threat-Hunting-Queries

Keine IOCs in den geprueften Quellen. Verhaltensbasiert aus der Schwachstellenklasse (DLL-Hijacking): AnyConnect-Prozesse laden eine DLL aus einem beschreibbaren/untypischen Pfad statt aus dem Programmverzeichnis. Prozess-/Pfadnamen an die eingesetzte AnyConnect-Version anpassen.

Sentinel/Defender KQL

DeviceImageLoadEvents
| where InitiatingProcessFileName in~ ("vpnagent.exe","vpnui.exe","vpndownloader.exe","aciseposture.exe")
| where not(FolderPath has_any ("\\Program Files\\","\\Program Files (x86)\\","\\Windows\\System32\\"))
| project Timestamp, DeviceName, InitiatingProcessFileName, FileName, FolderPath

Splunk SPL

index=* sourcetype="XmlWinEventLog:Microsoft-Windows-Sysmon/Operational" EventCode=7 Image="*\\vpnagent.exe" NOT (ImageLoaded="*\\Program Files*" OR ImageLoaded="C:\\Windows\\System32\\*")
| table _time host Image ImageLoaded Signed

Sigma

title: Cisco AnyConnect DLL-Hijack (CVE-2020-3433)
status: experimental
logsource:
  category: image_load
  product: windows
detection:
  selection:
    Image|endswith:
      - '\vpnagent.exe'
      - '\vpnui.exe'
      - '\vpndownloader.exe'
  filter:
    ImageLoaded|contains:
      - '\Program Files\'
      - '\Program Files (x86)\'
      - '\Windows\System32\'
  condition: selection and not filter
level: high

Elastic ES|QL

FROM logs-* | WHERE process.name IN ("vpnagent.exe","vpnui.exe","vpndownloader.exe") AND event.category == "library" AND NOT dll.path LIKE "*\\Program Files*" AND NOT dll.path LIKE "C:\\Windows\\System32*" | KEEP @timestamp, host.name, process.name, dll.path

SecBoard-generated · behavioral · requires customization — Von SecBoard erzeugt und nicht in einer Zielumgebung validiert. Vor dem Einsatz an die eigene Protokollierung anpassen.

Betroffene Produkte

  • cpe:2.3:a:cisco:anyconnect_secure_mobility_client:*:*:*:*:*:windows:*:*

Referenzen