Array Networks AG/vxAG ArrayOS: fehlende Authentifizierung (CVE-2023-28461)

Was ist betroffen, was ist zu tun

Netzwerke von Array Networks, die Serie Array AG und vxAG (Version 9.4.0.481 und früher), erlauben die Ausführung von Code aus der Ferne. Ein Angreifer kann das Dateisystem auf dem SSL-VPN-Gateway durch ein Flags-Attribut in einem HTTP-Header ohne Authentifizierung durchsuchen.

Die Schwachstelle wird aktiv ausgenutzt; behandeln Sie sie vorrangig. CISA führt sie als in Ransomware-Kampagnen genutzte Schwachstelle. Die vorliegenden Quellen nennen keine Fix-Version. Prüfen Sie die Herstellerhinweise in den Referenzen unten. Sofortmaßnahmen, Mitigation und Erkennungsregeln stehen im Runbook unten.

Betroffen

• Arraynetworks Arrayos Ag lte *..9.4.0.481

Unklar, ob und wie Sie betroffen sind? Frage zu dieser Schwachstelle stellen

Metriken

Behebung und Mitigation

1. 01

   Schritt 1 im Runbook

   Sofort-Response (0-24 h)

   • Bestandsaufnahme: Alle Array Networks AG- und vxAG-Instanzen (physisch und virtuell) mit ArrayOS AG inventarisieren und die exakte Firmware-Version prüfen. Betroffen sind 9.4.0.481 und älter. Jede aus dem Internet erreichbare Instanz mit diesem Stand gilt bis zum Beweis des Gegenteils als potenziell kompromittiert.
   • Patch einspielen: Auf eine korrigierte ArrayOS-AG-Version aktualisieren, die neuer als 9.4.0.481 ist. Der Patch ist beim Hersteller verfügbar — die genaue Version bitte im Array-Networks-Advisory nachschlagen. Vor dem Update einen Konfigurations-Snapshot und eine forensische Sicherung der Logs anlegen, damit Spuren nicht überschrieben werden.
   • Exposition reduzieren: Ist ein sofortiges Update nicht möglich, die SSL-VPN- und Web-Portal-Schnittstelle (typisch TCP/443) am Perimeter-Firewall auf bekannte Quell-IP-Bereiche beschränken. Alternativ das Gateway vorübergehend vom Netz nehmen. Die Management-Schnittstelle darf nie aus dem Internet erreichbar sein.
   • Zugangsdaten erneuern: Alle Geheimnisse rotieren, die auf dem Gateway gespeichert sind oder darüber laufen: lokale Administratorkonten, LDAP-/RADIUS-Service-Accounts, Zertifikate und Private Keys des Portals sowie VPN-Benutzerkennwörter. Die Schwachstelle erlaubt unauthentifiziertes Lesen lokaler Dateien.
   • Kompromittierungsprüfung: Gateway-Logs der letzten Monate auf Auffälligkeiten sichten (siehe Detection). Bei Hinweisen auf Ausnutzung den Incident-Response-Prozess auslösen, die Meldepflicht nach NIS2 (Frühwarnung binnen 24 h) prüfen und das Gerät neu aufsetzen statt es nur zu patchen.
2. 02

   Schritt 2 im Runbook

   Mitigation-Layer

   • Netzwerksegmentierung: Das VPN-Gateway in einer dedizierten DMZ betreiben. Ausgehende Verbindungen des Gateways per Allowlist auf notwendige Ziele begrenzen (AAA-Server, NTP, DNS, Syslog). Alle sonstigen Egress-Verbindungen blockieren, um Reverse Shells und Exfiltration zu unterbinden.
   • Ost-West-Kontrolle: Den Verkehr von VPN-Client-Pools und vom Gateway selbst ins interne Netz auf die benötigten Dienste beschränken. Insbesondere SMB, RDP, WinRM und LDAP zu Domänencontrollern nur gezielt freigeben.
   • WAF/IPS: Einen vorgeschalteten Reverse-Proxy oder ein IPS einsetzen, das HTTP-Anfragen an das Portal mit ungewöhnlichen Headern verwirft, die ein „flags"-Attribut tragen. Dazu Anfragen mit Pfad-Traversal-Mustern (../, %2e%2e) und Zugriffe auf Systempfade (/etc/, /proc/) blockieren. Die Hersteller-Signaturen von IPS-Anbietern zu CVE-2023-28461 aktivieren.
   • IAM/Least Privilege: Service-Accounts für die Verzeichnisanbindung auf minimale Leserechte reduzieren. MFA für alle VPN-Benutzer erzwingen, damit abgeflossene Kennwörter nicht direkt nutzbar sind.
   • Konfigurationshärtung: Nicht benötigte Portal-Funktionen (z. B. Web-Ressourcen, Dateifreigaben über das Portal) deaktivieren und die Konfiguration gegen die Härtungsempfehlungen des Herstellers abgleichen. Remote-Syslog an das SIEM aktivieren, damit lokale Log-Manipulation erkennbar bleibt.
3. 03

   Schritt 3 im Runbook

   Detection-Regeln

   • Web-/Access-Logs des Gateways: Nach unauthentifizierten Anfragen (ohne gültige Session) auf ungewöhnliche URLs suchen, die mit HTTP 200 beantwortet wurden und auffällig große Response-Größen haben. Ebenso nach Headern mit „flags"-Attribut. Beispiel (SPL): index=vpn sourcetype=array:ag status=200 NOT session_id=* | stats count by src_ip, uri_path
   • Netzwerk-Telemetrie (Zeek/Suricata): Ausgehende Verbindungen vom Gateway zu unbekannten externen IPs oder ungewöhnlichen Ports melden (Reverse Shell, Tool-Download). Beispiel (Zeek conn.log): id.orig_h == <AG-IP> and not id.resp_h in allowlist
   • Lateral Movement: Neue Anmeldungen aus dem VPN- oder Gateway-Adressbereich an Domänencontrollern oder Servern im Blick behalten, besonders Windows Event ID 4624 (Logon Type 3/10) mit Service-Accounts des Gateways und Event ID 4625 bei Häufung. Sigma-Form: logsource: windows/security; selection: EventID 4624, IpAddress|cidr: <VPN-Pool>, TargetUserName: <svc-ag>
   • Konfigurationsänderungen: Neue lokale Administratorkonten, geänderte Portal-Konfiguration oder unerwartete Neustarts in den Gateway-Syslogs alarmieren. Die Konfiguration regelmäßig gegen eine Baseline vergleichen (Hash-Diff).
   • Credential-Missbrauch: VPN-Logins zu untypischen Zeiten, aus neuen Geolokationen oder mit parallelen Sessions für dasselbe Konto korrelieren. Das deutet auf abgeflossene Zugangsdaten hin.

Erkennungsregeln

Für diese Schwachstelle liegt noch keine NEOSEC-Erkennungsregel vor.

Einordnung nach NIS2 und CRA

Regelbasierte Einordnung aus Ausnutzungsstatus und Schweregrad. Sie ersetzt keine Prüfung im Einzelfall.

NIS2

NIS2 ist die EU-Richtlinie (EU) 2022/2555 zur Erhöhung des Cybersicherheitsniveaus in der Union. Sie weitet Pflichten gegenüber der ersten NIS-Richtlinie deutlich aus: mehr Sektoren, verbindliches Risikomanagement, gestufte Meldepflichten und persönliche Verantwortung der Geschäftsleitung.

Im Glossar lesen

Aktiv ausgenutzt: Behandeln Sie die Schwachstelle im Schwachstellenmanagement nach Art. 21 Abs. 2 lit. e NIS2 vorrangig. Wird sie in Ihrer Umgebung ausgenutzt, prüfen Sie die Meldepflicht nach Art. 23 (Frühwarnung binnen 24 Stunden).

CRA

Der CRA ist die EU-Verordnung (EU) 2024/2847 mit horizontalen Cybersicherheitsanforderungen an „Produkte mit digitalen Elementen“ — von Industriesteuerungen über Software bis zu vernetzten Verbrauchergeräten. Erstmals müssen Hersteller Sicherheit über den gesamten Produktlebenszyklus gewährleisten, Schwachstellen behandeln und Sicherheitsupdates bereitstellen.

Im Glossar lesen

Seit dem 11.09.2026 müssen Hersteller betroffener Produkte mit digitalen Elementen aktiv ausgenutzte Schwachstellen nach Art. 14 CRA melden, mit Frühwarnung binnen 24 Stunden über die zentrale Meldeplattform der ENISA.

ISO/IEC 27001

ISO/IEC 27001 ist der international führende Standard für ein Informationssicherheits-Managementsystem (ISMS). Er beschreibt einen risikobasierten, prozessorientierten Rahmen, um Informationssicherheit systematisch zu planen, umzusetzen, zu überprüfen und zu verbessern.

Im Glossar lesen

Maßnahme A.8.8, Management technischer Schwachstellen: Relevanz für Ihre Systeme bewerten, Behebung einplanen und nachweisen.

Beschreibung

Netzwerke von Array Networks, die Serie Array AG und vxAG (Version 9.4.0.481 und früher), erlauben die Ausführung von Code aus der Ferne. Ein Angreifer kann das Dateisystem auf dem SSL-VPN-Gateway durch ein Flags-Attribut in einem HTTP-Header ohne Authentifizierung durchsuchen. Das Produkt könnte dann über eine anfällige URL ausgenutzt werden. Der Herstellerhinweis vom 9. März 2023 besagte: "Eine neue Array AG-Version mit dem Fix wird bald verfügbar sein."

Originalquelle nur englisch verfügbar, maschinell ins Deutsche übersetzt.

Quelle: pwn.watch, CISA KEV Catalog, cvelistv5, NVD (NIST), CVE.org (MITRE)

Hersteller und Produkte

• Arraynetworks Arrayos Ag

Quellen & Referenzen

• support.arraynetworks.netArray Networks advisory: CVE-2023-28461pwn-watch
• cisa.govknown-exploited-vulnerabilities-catalog?field_cve=CVE-2023-28461government-resource
• pwn.watchpwn.watch: Array Networks AG and vxAG ArrayOS Missing Authentication for Critical Functionpwn-watch
• NVD (NIST)NVD: CVE-2023-28461pwn-watch
• cisa.govCISA Known Exploited Vulnerabilities Catalogpwn-watch