Meinberg Security Advisory: [MBGSA-1404] LANTIME Web Interface Cross Site Scripting Vulnerability

Das National Cybersecurity and Communcations Integrations Center (NCCIC) wurde durch einen unserer Kunden darauf aufmerksam gemacht, daß das Webinterface von Meinberg LANTIME Netzwerkzeitservern anfällig gegen sogenannte Cross-Site-Scripting (XSS) Angriffe ist.

CVE-ID:

CVE-2014-5417

1. Beschreibung des Problems

Das Web-Interface von Meinberg LANTIME Produkten bis Version 6.15.019 ist nicht ausreichend gegen Cross-Site-Scripting (XSS) Angriffe geschützt. Um diese Schwachstelle auszunutzen, muss ein Angreifer einen präparierten Link auf einer beliebigen kompromittierten Website erzeugen, der eine beliebige Funktion des Web Interfaces auslösen kann. Damit das allerdings möglich ist, muß dieser Link von einem Administrator in einem Browser angeklickt werden, der zeitgleich (z.B. in einem separaten Tab) eine aktive Web-Session mit einem LANTIME Gerät hat. Damit der präparierte Link funktioniert, muss der Angreifer genau die IP Adresse oder den Hostnamen wissen, unter dem der anzugreifende LANTIME Server erreichbar ist.

2. Betroffene Systeme

Alle LANTIME Firmware Versionen ab V4.x sind von diesem Problem betroffen.

3. Mögliche Gegenmaßnahmen

Firmware Update für V5.x und V6.x Systeme

Ein Update auf die jeweils letzte Firmware Version wird empfohlen, um die Sicherheitslücken zu schließen.

Bitte fordern Sie ein Firmware Update mithilfe des Formulars auf unserer Website an:
Firmware Updates für LANTIME Produkte inklusive SyncFire

Sie benötigen für die Anforderung die Seriennummer Ihres Meinberg LANTIME Systems.

Folgende Updates stehen zur Verfügung:
V6.14.x - 6.16.x Update auf V6.16.002

Für V5.x LANTIME Systeme der M-Serie (M100, M200, M300, M400, M600, M900) empfehlen wir ein Update auf V6.16.002, eventuell ist hierfür ein Upgrade des internen Flash Speichers notwendig. Bitte kontaktieren Sie Ihren Meinberg Support, um weitere Unterstützung zu erhalten.

Empfohlene Sicherheitsmaßnahmen für andere Firmware Versionen

Sollte es für Ihr LANTIME System kein Firmware Update geben, das diese XSS-Schwachstelle schließt, können Sie durch das Berücksichtigen einfacher Verhaltensweisen ausschließen, dass ein Angreifer diese Lücke ausnutzt:

• Benutzen Sie das Webinterface Ihres LANTIME Systems nur dann, wenn Sie nicht parallel auf andere potentiell unsichere Websites zugreifen.
• Nachdem Sie das Webinterface Ihres LANTIME Servers benutzt haben, schließen Sie den Webbrowser komplett, nachdem Sie sich ordnungsgemäß abgemeldet haben

4. Weitere Quellen

Mehr über dieses Sicherheitsproblem können Sie auf den folgenden Websites erfahren:

https://ics-cert.us-cert.gov/advisories/ICSA-14-275-01
(ICS-CERT Advisory)