ServiceNow-Sicherheitslücke legt sensible Daten durch ACL-Fehler offen

Eine neu entdeckte Sicherheitslücke in ServiceNow ermöglicht Angreifern den Zugriff auf sensible Daten aus eingeschränkten Tabellen, ohne vollständigen Zugriff zu haben.
Die Schwachstelle, bekannt als Count(er) Strike, wurde Anfang dieses Jahres von den Varonis Threat Labs aufgedeckt.

ServiceNow ist eine führende Cloud-Plattform, die von Unternehmen weltweit zur Verwaltung digitaler Arbeitsabläufe und Unternehmensprozesse genutzt wird.
Regierungsbehörden, Gesundheitsdienstleister, Banken und große Unternehmen aus verschiedenen Branchen vertrauen auf ServiceNow.

Diese neueste Sicherheitslücke könnte Millionen von Nutzern betreffen, darunter große Konzerne und öffentliche Einrichtungen.

Was ist die Count(er) Strike-Sicherheitslücke in ServiceNow?

Die Schwachstelle betrifft die Art und Weise, wie Access Control Lists (ACLs) mehrere Sicherheitsbedingungen handhaben.
ACLs sollen unbefugten Zugriff auf sensible Daten in ServiceNow-Tabellen verhindern.

Jede ACL bewertet vier Bedingungen:

• Erforderliche Rollen
• Sicherheitsattribute
• Datenbedingungen
• Skriptbedingungen

Zugriff sollte nur gewährt werden, wenn alle Bedingungen erfüllt sind.
Forscher stellten jedoch fest, dass ServiceNow teilweise Zugriff gewährte, wenn nur eine Bedingung erfüllt war.

In manchen Fällen führte dies dazu, dass sensible Datensatzanzahlen offengelegt wurden, ohne dass die eigentlichen Daten angezeigt wurden.

Wie die Schwachstelle Datenenumeration ermöglicht

Auch ohne vollständigen Zugriff können Angreifer nützliche Informationen aus Teil-Datenlecks extrahieren.
Wenn Nutzer einige ACL-Prüfungen nicht bestehen, gibt ServiceNow weiterhin Datensatzanzahlen in der Benutzeroberfläche und im Quellcode zurück.

Forscher von Varonis entdeckten, dass Angreifer durch Manipulation von Filtern verborgene Inhalte erraten können.
Angreifer nutzen Operatoren wie STARTSWITH, CONTAINS, = oder !=, um ihre Abfragen zu formen.

Beispiel:
https://[firma].service-now.com/task_list.do?sysparm_query=short_descriptionSTARTSWITHa

Durch Automatisierung dieses Prozesses können sie eingeschränkte Daten langsam Zeichen für Zeichen aufdecken.
Obwohl die tatsächlichen Datensätze verborgen bleiben, offenbaren die Zähler genügend Informationen, um sensible Muster zu erkennen.

Potenzielle Auswirkungen der ServiceNow-Schwachstelle

Angreifer könnten sensible Informationen ableiten, darunter Zugangsdaten, interne Einstellungen und persönliche Daten.
Die Schwachstelle betrifft mehr als nur das ITSM-Produkt von ServiceNow.

Jeder ServiceNow-Dienst, der die gleiche ACL-Logik verwendet, könnte verwundbar sein.
Auch selbstregistrierte Konten mit minimalen Berechtigungen könnten diese Schwachstelle ausnutzen.

Varonis warnt, dass mehrere Fortune-500-Unternehmen weiterhin anonyme Benutzerregistrierungen zulassen, was das Risiko erhöht.
Die Schwachstelle zeigt, wie kleine Lecks großflächige Datenoffenlegungen ermöglichen können.

Reaktion und Sicherheitsupdates von ServiceNow

ServiceNow hat reagiert und die Count(er) Strike-Schwachstelle mit mehreren Sicherheitsupdates adressiert:

• Einführung von Deny Unless-ACLs, die verlangen, dass alle Bedingungen erfüllt sein müssen, bevor Zugriff gewährt wird.
• Hinzufügen von Query-ACLs, die böswillige Filter- und Enumerationsversuche blockieren.
• Empfehlung von Security Data Filters, um Datensatzanzahlen zu verbergen und das Risiko zu minimieren.

Diese Änderungen wurden in den Versionen Xanadu und Yokohama im letzten Monat implementiert.

Was Organisationen jetzt tun sollten

Trotz der Updates von ServiceNow müssen Kunden Maßnahmen ergreifen, um ihre Umgebungen zu sichern.
Administratoren sollten bestehende ACLs sorgfältig auf zu großzügige Zugriffsrechte überprüfen.

Alle Tabellen mit sensiblen Informationen sollten doppelt geprüft und ordnungsgemäß gesichert werden.
Organisationen müssen sicherstellen, dass anonyme Registrierungen deaktiviert sind, wo sie nicht benötigt werden.

Sicherheitsaudits und die Anwendung der neuesten Updates sind essenziell, um Ausnutzungen zu verhindern.

Fazit

Bislang hat Varonis keine Hinweise darauf gefunden, dass die ServiceNow-Schwachstelle in freier Wildbahn ausgenutzt wurde.
Das Risiko bleibt jedoch bestehen.

Teilweise Datenlecks können mächtige Werkzeuge für Angreifer sein, die sich in Unternehmensumgebungen einnisten wollen.
Proaktive Sicherheit und korrekte Konfiguration sind die einzigen Wege, um solchen Bedrohungen einen Schritt voraus zu sein.

Der Fall Count(er) Strike verdeutlicht die verborgenen Gefahren von falsch konfigurierten Zugriffskontrollen.
Selbst fortschrittliche Systeme wie ServiceNow können ohne ständige Sicherheitsüberwachung versagen.