Firefox-0-Day CVE-2019-17026: Was Sie tun können, um sich vorzubereiten und Abhilfe zu schaffen
Am 8. Januar 2020 kündigte Mozilla ein kritisches Update an, um eine ausnutzbare Sicherheitslücke zu beheben, die offenbar bereits in der Praxis gegen Computer eingesetzt wird. Firefox hat ein Update (Version 72,0,1) veröffentlicht, um die Sicherheitslücke zu beheben; ältere Versionen sind jedoch weiterhin gefährdet. Weitere Informationen finden Sie unter , sowie im Mozilla-Bulletin unter.
Tanium-Anwender können diese Sicherheitslücke auf Unternehmensebene schnell aufspüren und beheben; der folgende Artikel zeigt einige gängige Beispiele unter Verwendung von Standardlösungen.
Mit Tanium Interact können Sie anfällige Endgeräte schnell identifizieren
Die Echtzeit-Transparenz von Tanium bietet Kunden einen stets aktuellen und präzisen Überblick über ihre Umgebung. Mit der folgenden Interact-Abfrage können Sie Online-Endpunkte schnell auf diese Sicherheitslücke überprüfen:
Anfällige Mozilla Firefox-Installationen:
Ermitteln Sie installierte Anwendungen, deren Name „Mozilla Firefox“ enthält, auf allen Rechnern, bei denen die installierte Anwendungsversion [Mozilla Firefox] < 72,0,1 ist und die installierten Anwendungen mit „^Mozilla Firefox(?!.“ übereinstimmen.ESR.).*$” )
Anfällige Mozilla Firefox ESR-Installationen:
Get Installed Applications, bei denen der Name der installierten Anwendung „Mozilla Firefox“ enthält, von allen Rechnern, bei denen (Installierte Anwendungsversion [Mozilla Firefox] < 68,4,1 und Installierte Anwendungen entspricht „^Mozilla Firefox.ESR.$“) )
Um über möglicherweise offline befindliche Geräte zu berichten, können Sie Tanium Asset verwenden oder eine Abfrage speichern und diese in regelmäßigen Abständen ausführen. Weitere Informationen finden Sie in diesem Tanium- : sowie in diesem Community-Beitrag::
Erstellen Sie mit Asset ganz einfach vollständige und detaillierte Berichte
Tanium Asset liefert umfassende Endpunktdaten und umfasst sowohl Daten für Online- als auch für Offline-Hosts. Um diese Sicherheitslücke mithilfe von Asset zu dokumentieren, fügen Sie „Installierte Anwendungen“ als einfaches Attribut zu Asset hinzu und erstellen Sie einen benutzerdefinierten Bericht, um die Version anzuzeigen. Anschließend können Sie über anfällige Versionen von Firefox in Ihrer Umgebung Bericht erstatten.
Weitere Informationen zur Berichterstellung mit Asset finden Sie unter , sowie hier:.
Informationen zum Erstellen eines Berichts in Asset finden Sie unter , sowie hier:.
Verwenden Sie Tanium Comply, um anfällige Firefox-Instanzen zu identifizieren
Sobald eine CVE offiziell in der „ “ () und der „National Vulnerability Database“ () veröffentlicht wird, wird die von Comply genutzte „Tanium Vulnerability Library“ (TVL) automatisch mit den entsprechenden Prüfungen aktualisiert, um die für die Behebung des Problems erforderlichen Informationen zur Sicherheitslücke und zu den Abhilfemaßnahmen zu ermitteln. Dies lässt sich durch die Durchführung eines Standard-Schwachstellen-Scans im Comply-Dienst feststellen.
HINWEIS: Stand 9. Januar,/2020 befinden sich die genannten CVEs weiterhin im Status „Reserviert“ und wurden noch nicht offiziell geprüft und im NVD veröffentlicht.
Weitere Informationen zur Erstellung eines Berichts auf der Grundlage einer Sicherheitslücke oder einer bestimmten CVE finden Sie unter hier.
Nutzen Sie Tanium Threat Response, um kompromittierte Endgeräte zu identifizieren und zu untersuchen
Wann immer eine ausnutzbare Sicherheitslücke vorliegt, ist es erforderlich, nach kompromittierten Rechnern zu suchen und etwaige Befunde zu untersuchen. Hier sind einige Beispiele dafür, wie Benutzer nach potenziell kompromittierten Systemen suchen können:
- Herkunft verdächtiger Prozesse: Tanium kann in Echtzeit Warnmeldungen ausgeben oder in den Protokollaufzeichnungen nach verdächtigen Prozessen suchen, die von „firefox.exe“ abgeleitet sind.
- Analyse des Prozessspeichers: Tanium kann geladene DLLs auflisten, eingeschleuste Threads identifizieren, verdächtige Mutexe auflisten und weitere Artefakte im Speicher erfassen, um festzustellen, ob ein System kompromittiert wurde.
- Mechanismen zur Aufrechterhaltung der Präsenz: Eine gängige Maßnahme nach der Ausnutzung einer Sicherheitslücke besteht darin, eine dauerhafte Präsenz auf einem System zu etablieren. Tanium kann alle Persistenzmechanismen in einer Umgebung erfassen, um anomale Einträge zu ermitteln.
- Tanium Signals: Die Threat-Intelligence-Feeds von Tanium, „Tanium Signals“, dienen dazu, erste oder nachfolgende Aktivitäten zu identifizieren, die auf einen Sicherheitsvorfall hindeuten. Signals ermöglicht die Echtzeitüberwachung von Angriffsmustern, die dem MITRE ATT&CK-Framework zugeordnet sind.
Mit Tanium antworten
Tanium-Anwender können Infektionen verhindern oder anfällige Hosts sanieren. Hier sind einige Möglichkeiten, wie Sie auf diese Sicherheitslücke reagieren könnten:
- Führen Sie ein Upgrade mit Tanium Deploy durch. Verwenden Sie Tanium Deploy , um Firefox zu verwalten und ein Upgrade auf die neueste für Windows-Betriebssysteme verfügbare Version durchzuführen. Deploy verfügt über eine Galerie, in der Firefox für die Installation, Aktualisierung oder Deinstallation vorkonfiguriert zur Verfügung steht.
- Führen Sie ein Upgrade mit Core durch. Mit Tanium Core können Sie ein benutzerdefiniertes Paket erstellen, um die aktualisierte Software an Ihre anfälligen Endgeräte zu verteilen. Weitere Informationen zum Erstellen eines benutzerdefinierten Pakets finden Sie unter , sowie hier:.
- Infizierte Systeme unter Quarantäne stellen. Wenn der Verdacht besteht, dass ein oder mehrere Systeme kompromittiert wurden, sollten Sie erwägen, diese Systeme unter Quarantäne zu stellen, bis die Behebung abgeschlossen ist. Weitere Informationen zur Quarantäne eines Systems unter finden Sie hier:. Informationen zur Netzwerkquarantäne finden Sie unter , sowie hier unter.
- Blockieren Sie anfällige Versionen mit Tanium Protect. Mit Tanium Protect können Sie die Ausführung anfälliger Firefox-Versionen blockieren oder eine Warnung ausgeben, bis diese behoben sind.
- Beenden Sie anfällige Versionen mithilfe von Core. Tanium kann so konfiguriert werden, dass regelmäßig eine „Kill Process“-Aktion für Hosts ausgeführt wird, auf denen anfällige Versionen von Firefox laufen.
Es liegt in der Natur der Sache, dass bei Zero-Day-Schwachstellen zunächst oft nur begrenzte Informationen vorliegen; wir werden diesen Beitrag fortlaufend aktualisieren, sobald weitere relevante Informationen verfügbar werden. Sollten Sie Fragen haben, wenden Sie sich bitte an Ihren technischen Kundenbetreuer.
Möchten Sie Tanium in Aktion erleben? Vereinbaren Sie unter eine individuelle Vorführung oder nehmen Sie an unserem wöchentlichen Webinar teil. Sprechen Sie mit unseren Tanium-Experten bei unseren bevorstehenden Veranstaltungen im Rahmen der „ “ unter.
