SecBoard
Zurück zur CVE-Übersicht

CVE-2024-2961

HIGH(7.3)

CVSS:3.1/AV:L/AC:L/PR:N/UI:N/S:U/C:L/I:L/A:H

Risk Signal Score45/100 — MITTEL
  • CVSS 7.3 — Hoch
  • EPSS 88% — sehr wahrscheinlich ausgenutzt

Erwähnungen (letzte 60 Tage)

Artikel

EPSS-Score

88.3%

Exploit-Wahrscheinlichkeit (30 Tage)

CVSS Score

7.3

Technische Schwere

SecBoard-Einordnung

CVE-2024-2961 betrifft die iconv()-Funktion in der GNU C Library (glibc) Versionen 2.39 und älter. Bei der Konvertierung von Zeichenketten in den ISO-2022-CN-EXT-Zeichensatz kann es zu einem Überlauf des Ausgabepuffers um bis zu vier Bytes kommen. Dies kann zum Absturz einer Anwendung oder zum Überschreiben benachbarter Variablen führen, was die Integrität und Verfügbarkeit von Systemen beeinträchtigt. Die Schwachstelle ist als hochkritisch eingestuft ( 7.3) und weist eine hohe Exploit-Wahrscheinlichkeit ( 88%) auf, obwohl sie derzeit nicht im KEV-Katalog gelistet ist. Die hohe EPSS-Bewertung deutet auf eine erhöhte Wahrscheinlichkeit hin, dass diese Schwachstelle aktiv ausgenutzt werden könnte. Security-Teams sollten umgehend alle betroffenen Systeme identifizieren, die glibc verwenden, insbesondere in den genannten NetApp-Produkten und Debian Linux 10.0. Eine Priorisierung des Patch-Managements ist aufgrund der hohen CVSS- und EPSS-Werte dringend empfohlen, um das Risiko von Abstürzen oder Datenkorruption zu minimieren.

KI-gestützte Einordnung auf Basis der NVD-Daten.

Beschreibung

The iconv() function in the GNU C Library versions 2.39 and older may overflow the output buffer passed to it by up to 4 bytes when converting strings to the ISO-2022-CN-EXT character set, which may be used to crash an application or overwrite a neighbouring variable.

Erkennung & Indikatoren

Ausnutzung

Charles Fol hat eine Ausnutzung der Schwachstelle in PHP-Anwendungen demonstriert, die zu Remote Code Execution (RCE) führen kann. Dies kann durch direkte Aufrufe von iconv() mit kontrollierten Parametern oder durch die Verwendung von PHP-Filtern in Verbindung mit einer Dateilese-Schwachstelle ausgelöst werden.

Behobene Versionen

  • 2.40
  • 2.39-31
  • 2.38-66
  • 2.37-89
  • 2.36-164
  • 2.35-315
  • 2.34-459
  • 2.33-263
  • 2.32-140

Threat-Hunting-Queries

Die Schwachstelle betrifft die iconv()-Funktion in der GNU C Library, die von Anwendungen wie PHP genutzt werden kann. Die Erkennung sollte sich auf ungewöhnliche Aufrufe von iconv() mit dem Zeichensatz ISO-2022-CN-EXT konzentrieren, insbesondere wenn diese von extern kontrollierten Daten stammen oder in Verbindung mit Dateilesevorgängen über PHP-Filter auftreten.

Sentinel/Defender KQL

DeviceProcessEvents
| where InitiatingProcessFileName =~ "php"
| where ProcessCommandLine contains "iconv" and ProcessCommandLine contains "ISO-2022-CN-EXT"
| where InitiatingProcessCommandLine contains "php://filter"
| project TimeGenerated, DeviceName, InitiatingProcessCommandLine, ProcessCommandLine, FileName, FolderPath

Splunk SPL

(sourcetype=linux_audit OR sourcetype=syslog) (php_process_name) (iconv_call_pattern) (ISO-2022-CN-EXT_charset_pattern)
| search (process="php" OR process="apache" OR process="nginx") AND (command_line="*iconv*ISO-2022-CN-EXT*" OR command_line="*php://filter*ISO-2022-CN-EXT*")
| table _time, host, process, command_line

Sigma

title: GLIBC iconv ISO-2022-CN-EXT Overflow Attempt (CVE-2024-2961)
author: SecBoard
logsource:
  category: process_creation
  product: linux
detection:
  selection:
    Image|endswith: 'php'
    CommandLine|contains: 
      - 'iconv'
      - 'ISO-2022-CN-EXT'
      - 'php://filter'
  condition: selection
fields:
  - CommandLine
  - ParentCommandLine
  - Image
level: high

Elastic ES|QL

from process where process.executable : "*php*" and (process.args : "*iconv*" and process.args : "*ISO-2022-CN-EXT*") or (process.args : "*php://filter*" and process.args : "*ISO-2022-CN-EXT*")

SecBoard-generated · behavioral · requires customization — Von SecBoard erzeugt und nicht in einer Zielumgebung validiert. Vor dem Einsatz an die eigene Protokollierung anpassen.

Betroffene Produkte

  • cpe:2.3:a:gnu:glibc:*:*:*:*:*:*:*:*
  • cpe:2.3:a:netapp:active_iq_unified_manager:-:*:*:*:*:vmware_vsphere:*:*
  • cpe:2.3:o:debian:debian_linux:10.0:*:*:*:*:*:*:*
  • cpe:2.3:o:netapp:hci_h300s_firmware:-:*:*:*:*:*:*:*
  • cpe:2.3:o:netapp:hci_h500s_firmware:-:*:*:*:*:*:*:*
  • cpe:2.3:o:netapp:hci_h700s_firmware:-:*:*:*:*:*:*:*
  • cpe:2.3:o:netapp:hci_h410s_firmware:-:*:*:*:*:*:*:*
  • cpe:2.3:o:netapp:hci_h410c_firmware:-:*:*:*:*:*:*:*
  • cpe:2.3:o:netapp:hci_h610c_firmware:-:*:*:*:*:*:*:*
  • cpe:2.3:o:netapp:hci_h610s_firmware:-:*:*:*:*:*:*:*
  • cpe:2.3:o:netapp:hci_h615c_firmware:-:*:*:*:*:*:*:*
  • cpe:2.3:o:netapp:hci_compute_node:-:*:*:*:*:*:*:*
  • cpe:2.3:a:netapp:ontap_select_deploy_administration_utility:-:*:*:*:*:*:*:*

Referenzen