De Amerikaanse overheid waarschuwt voor actief misbruik van kwetsbaarheden in SugarCRM en Oracle E-Business Suite. Via de beveiligingslekken kunnen aanvallers volledige controle over kwetsbare systemen krijgen. SugarCRM biedt een platform voor customer relationship management (CRM) dat op eigen servers is te installeren en als cloudoplossing beschikbaar is.

Eind december werd op de Full Disclosure-mailinglist een zeroday-exploit voor SugarCRM gepubliceerd. Via de kwetsbaarheid kan een aanvaller de authenticatie omzeilen en toegang tot de SugarCRM-server krijgen. Aanvallers gebruiken het beveiligingslek om een webshell op de server te installeren, waarmee verdere aanvallen mogelijk zijn. Begin januari werd bekend dat honderden SugarCRM-servers via de kwetsbaarheid waren gecompromitteerd. SugarCRM kwam eerst met een hotfix, gevolgd door een beveiligingsupdate en meer informatie.

Het probleem (CVE-2023-22952) bevindt zich in de Email Templates van SugarCRM. Door middel van een speciaal geprepareerd request is het mogelijk om via Email Templates PHP-code te injecteren. Dit is mogelijk doordat de invoer van gebruikers niet wordt gecontroleerd. Elke gebruiker kan misbruik van de kwetsbaarheid maken, er zijn geen speciale rechten vereist. De impact van de kwetsbaarheid is op een schaal van 1 tot en met 10 beoordeeld met een 8.8.

Het beveiligingslek in Oracle E-Business Suite heeft een impactscore van 9.8 en is zonder authenticatie op afstand te misbruiken. De kwetsbaarheid is specifiek in de Oracle Web Applications Desktop Integrator aanwezig. Via deze tool is het mogelijk om Oracles E-Business Suite-applicaties met desktopapplicaties zoals Microsoft Word of Excel te integreren. Afgelopen oktober kwam Oracle met een update voor de kwetsbaarheid (CVE-2022-21587).

Het Cybersecurity and Infrastructure Security Agency (CISA) van het Amerikaanse ministerie van Homeland Security houdt een lijst bij van actief aangevallen kwetsbaarheden en kan federale overheidsinstanties opdragen om de betreffende patches voor deze beveiligingslekken voor een bepaalde datum te installeren. De lijst is nu uitgebreid met de kwetsbaarheden in SugarCRM en Oracle E-Business Suite. Federale overheidsinstanties die de software gebruiken moeten die voor 23 februari patchen. Details over de waargenomen aanvallen zijn niet gegeven.