ServiceNow-sårbarhed afslører følsomme data gennem ACL-fejl

En nyligt opdaget sårbarhed i ServiceNow gør det muligt for angribere at udtrække følsomme data fra begrænsede tabeller uden fuld adgang.
Fejlen, kaldet Count(er) Strike, blev opdaget af Varonis Threat Labs tidligere i år.

ServiceNow er en førende cloud-platform, der bruges af virksomheder verden over til at styre digitale workflows og forretningsprocesser.
Den er betroet af offentlige myndigheder, sundhedsudbydere, banker og store virksomheder på tværs af mange brancher.

Denne nyeste sikkerhedsfejl kan påvirke millioner af brugere, inklusive store virksomheder og offentlige organisationer.

Hvad er Count(er) Strike-sårbarheden i ServiceNow?

Sårbarheden påvirker, hvordan Access Control Lists (ACL’er) håndterer flere sikkerhedsbetingelser.
ACL’er er designet til at forhindre uautoriseret adgang til følsomme data i ServiceNow-tabeller.

Hver ACL evaluerer fire betingelser:

• Krævede roller
• Sikkerhedsattributter
• Databetingelser
• Scriptbetingelser

Adgang bør kun gives, hvis alle betingelser er opfyldt.
Men forskere har fundet ud af, at ServiceNow nogle gange giver delvis adgang, hvis blot én betingelse er opfyldt.

I nogle tilfælde afslørede dette følsomme opgørelser over poster uden at vise de faktiske data.

Hvordan sårbarheden tillader dataudtræk

Selv uden fuld adgang kan angribere udtrække nyttige oplysninger via delvise datalæk.
Hvis brugere fejler nogle ACL-tjek, returnerer ServiceNow stadig postantal i brugerfladen og kildekoden.

Varonis-forskere opdagede, at angribere kunne gætte skjult indhold ved at manipulere filtre.
Angribere bruger operatorer som STARTSWITH, CONTAINS, = eller != til at forme deres forespørgsler.

For eksempel:
https://[firma].service-now.com/task_list.do?sysparm_query=short_descriptionSTARTSWITHa

Ved at automatisere denne proces kan de langsomt opregne begrænsede data, ét tegn ad gangen.
Selvom de faktiske poster forbliver skjulte, afslører posttallene nok til at afdække følsomme mønstre.

Den potentielle indvirkning af ServiceNow-sårbarheden

Angribere kan udlede følsomme oplysninger, inklusiv legitimationsoplysninger, interne indstillinger og persondata.
Sårbarheden påvirker mere end bare ServiceNow’s ITSM-produkt.

Enhver ServiceNow-tjeneste, der bruger samme ACL-logik, kan være sårbar.
Selv selvregistrerede konti med minimale tilladelser kan potentielt udnytte denne fejl.

Varonis advarer om, at flere Fortune 500-virksomheder stadig tillader anonym brugerregistrering, hvilket øger risikoen.
ServiceNow-sårbarheden viser, hvordan små lækager kan muliggøre omfattende dataeksponering.

ServiceNow’s reaktion og sikkerhedsrettelser

ServiceNow har handlet og adresseret Count(er) Strike-fejlen med flere sikkerhedsopdateringer:

• Introduceret Deny Unless-ACL’er, som kræver, at alle betingelser skal opfyldes før adgang gives.
• Tilføjet Query-ACL’er for at blokere ondsindede filtrerings- og opregningsforsøg.
• Anbefalet Security Data Filters for at skjule postantal og minimere eksponering.

Disse ændringer blev inkluderet i Xanadu- og Yokohama-udgivelserne sidste måned.

Hvad organisationer bør gøre nu

På trods af ServiceNow’s rettelser skal kunder tage handling for at sikre deres miljøer.
Administratorer bør nøje gennemgå eksisterende ACL’er for at undgå for brede tilladelser.

Alle tabeller med følsomme oplysninger bør dobbelttjekkes og sikres korrekt.
Organisationer skal sikre, at anonym registrering er deaktiveret, hvor det ikke er nødvendigt.

Det er essentielt at køre sikkerhedsrevisioner og anvende de nyeste opdateringer for at forhindre udnyttelse.

Konklusion

Indtil videre har Varonis ikke fundet beviser på, at denne ServiceNow-sårbarhed er blevet udnyttet i det fri.
Men risikoen er stadig til stede.

Delvise datalæk kan være kraftfulde værktøjer for angribere, der søger fodfæste i virksomhedsmiljøer.
Proaktiv sikkerhed og korrekt konfiguration er de eneste måder at være på forkant med sådanne trusler.

Count(er) Strike-sagen understreger de skjulte farer ved forkert konfigurerede adgangskontroller.
Selv avancerede systemer som ServiceNow kan fejle uden konstant sikkerhedsovervågning.