{"id":280,"date":"2026-11-10T07:45:08","date_gmt":"2026-11-10T06:45:08","guid":{"rendered":"https:\/\/mspbusiness.com\/de\/it-nachrichten\/patchwork-dienstag-10-november\/"},"modified":"2026-11-10T07:47:13","modified_gmt":"2026-11-10T06:47:13","slug":"patchwork-dienstag-10-november","status":"publish","type":"post","link":"https:\/\/mspbusiness.com\/de\/security\/patchwork-dienstag-10-november\/","title":{"rendered":"Patchwork \u2013 Dienstag, 10. November"},"content":{"rendered":"<p id=\"top\"><strong>Diese Ausgabe dreht sich um die Verwaltungswerkzeuge der MSPs selbst. N-able hat N-central nach der Ver\u00f6ffentlichung von mehr als 30 Zero-Days offline genommen, Angreifer nutzen zwei L\u00fccken im AhsayCBS-Backupserver f\u00fcr Webshells und Cryptominer, und die OpenSSH-L\u00fccke SSHole wird inzwischen aktiv ausgenutzt. Au\u00dferdem schlie\u00dft Google eine aktiv ausgenutzte Zero-Day-L\u00fccke in Chrome, und Angreifer missbrauchen eine Qubole-Anbindung, um AWS-Umgebungen von Kunden leerzur\u00e4umen.<\/strong><\/p>\n<ul>\n<li><a href=\"#nable\">N-able nimmt N-central nach Ver\u00f6ffentlichung von mehr als 30 Zero-Days in der RMM-Software offline<\/a><\/li>\n<li><a href=\"#ahsay\">AhsayCBS-Backupserver \u00fcber zwei L\u00fccken gehackt: Webshells, Cryptominer und Jagd auf Veeam-Credentials<\/a><\/li>\n<li><a href=\"#sshole\">SSHole: Bereits gemeldete OpenSSH-L\u00fccke auf musl-Linux wird jetzt aktiv ausgenutzt und von CISA gelistet<\/a><\/li>\n<li><a href=\"#chrome\">Chrome-Update schlie\u00dft aktiv ausgenutzte Zero-Day-L\u00fccke in der XML-Komponente, die achte in diesem Jahr<\/a><\/li>\n<li><a href=\"#qubole\">Angreifer missbrauchen Qubole-Anbindung an AWS-Umgebungen von Kunden, um Secrets und S3-Daten zu stehlen<\/a><\/li>\n<\/ul>\n<h4 id=\"nable\">N-able nimmt N-central nach Ver\u00f6ffentlichung von mehr als 30 Zero-Days in der RMM-Software offline<\/h4>\n<table style=\"border-collapse: collapse; width: 100%; margin: 0.5em 0 1em;\">\n<tbody>\n<tr>\n<td style=\"border: 1px solid #999; padding: 6px 10px; font-weight: 600; vertical-align: top; width: 160px;\">Schwachstelle<\/td>\n<td style=\"border: 1px solid #999; padding: 6px 10px; vertical-align: top;\">33 mutma\u00dfliche kritische Schwachstellen in N-able N-central (hosted und On-Premises), die sich zu vier Exploit-Ketten unter dem Namen \u201eAble2Shell\u201c verkn\u00fcpfen lassen: Authentifizierungsumgehung, Credential Disclosure, beliebiges Schreiben von Dateien, XXE, RCE und Privilege Escalation. Getestet mit N-central Appliance 2026.4.0.31, \u00e4ltere Versionen sind wahrscheinlich ebenfalls betroffen<\/td>\n<\/tr>\n<tr>\n<td style=\"border: 1px solid #999; padding: 6px 10px; font-weight: 600; vertical-align: top; width: 160px;\">CVE-Nummer<\/td>\n<td style=\"border: 1px solid #999; padding: 6px 10px; vertical-align: top;\">Keine CVE vergeben<\/td>\n<\/tr>\n<tr>\n<td style=\"border: 1px solid #999; padding: 6px 10px; font-weight: 600; vertical-align: top; width: 160px;\">Aktiv ausgenutzt<\/td>\n<td style=\"border: 1px solid #999; padding: 6px 10px; vertical-align: top;\">Nein, N-able hat am 9. November (15:15 UTC) keine Ausnutzung festgestellt. Die Proof-of-Concept-Exploits sind jedoch \u00f6ffentlich auf GitHub verf\u00fcgbar<\/td>\n<\/tr>\n<tr>\n<td style=\"border: 1px solid #999; padding: 6px 10px; font-weight: 600; vertical-align: top; width: 160px;\">Patch verf\u00fcgbar<\/td>\n<td style=\"border: 1px solid #999; padding: 6px 10px; vertical-align: top;\">Nein, N-able arbeitet an einem Hotfix, ein Termin steht noch nicht fest. N-able hat die gehosteten Umgebungen offline genommen und empfiehlt, On-Premises-Server bis auf Weiteres abzuschalten<\/td>\n<\/tr>\n<\/tbody>\n<\/table>\n<p><strong>Was ist passiert?<\/strong><\/p>\n<p>Der Forscher Sean Bales ver\u00f6ffentlichte am Sonntagabend, 8. November, auf GitHub das Repository \u201eAble2Shell\u201c mit Proof-of-Concept-Exploits, die er nach eigenen Angaben teilweise mithilfe von KI gefunden hat. Laut <a href=\"https:\/\/www.bleepingcomputer.com\/news\/security\/n-able-takes-cloud-platform-offline-after-30-plus-zero-days-published\/\" target=\"_blank\" rel=\"noopener\">BleepingComputer<\/a> ist die gef\u00e4hrlichste Kette eine nicht authentifizierte XXE-Schwachstelle, die in Codeausf\u00fchrung und die Anlage eines zus\u00e4tzlichen Administratorkontos m\u00fcndet. N-able meldete einen \u201ecritical security incident\u201c, nahm das gehostete N-central in Amerika, Europa und im asiatisch-pazifischen Raum offline und verspricht alle vier Stunden ein Update.<\/p>\n<p><strong>Was k\u00f6nnen die Folgen sein?<\/strong><\/p>\n<p>N-central ist eine RMM-Plattform, mit der MSPs die Systeme all ihrer Kunden verwalten. Wer die Verwaltungsplattform kontrolliert, kann Skripte und Tools an alle angebundenen Umgebungen verteilen. Das ist bei fr\u00fcheren Angriffen auf N-central in diesem Jahr bereits geschehen, wie <a href=\"https:\/\/www.huntress.com\/blog\/n-able-disables-cloud-services-following-disclosure-of-able2shell-exploit-chains\" target=\"_blank\" rel=\"noopener\">Huntress<\/a> anmerkt. Solange der Hotfix fehlt, fallen zudem Ihr eigenes Monitoring und Ihr Patchmanagement aus, wenn Sie den Server offline nehmen.<\/p>\n<p><strong>Was m\u00fcssen IT-Administratoren jetzt tun?<\/strong><\/p>\n<p>Nehmen Sie On-Premises-N-central-Server vom Netz und lassen Sie sie offline, bis N-able meldet, dass eine Wiederinbetriebnahme sicher ist. Beim gehosteten Dienst sollten Sie mit einem Ausfall rechnen und die Statusseite von N-able verfolgen. Pr\u00fcfen Sie die Authentifizierungsprotokolle ab dem 8. November auf unerwartete Zugriffe und suchen Sie in den Audit-Logs nach auff\u00e4lligen Remote-Sitzungen, neu ausgerollten Skripten und unbekannten Administratorkonten. Spielen Sie den Hotfix erst ein, wenn N-able dies empfiehlt; die Versionsnummer kann von 2026.4.0.31 abweichen. Bereiten Sie au\u00dferdem die Kommunikation mit Ihren Kunden vor, denn Sie k\u00f6nnen vor\u00fcbergehend keine Fernwartung leisten.<\/p>\n<p><a href=\"#top\">nach oben ^<\/a><\/p>\n<h4 id=\"ahsay\">AhsayCBS-Backupserver \u00fcber zwei L\u00fccken gehackt: Webshells, Cryptominer und Jagd auf Veeam-Credentials<\/h4>\n<table style=\"border-collapse: collapse; width: 100%; margin: 0.5em 0 1em;\">\n<tbody>\n<tr>\n<td style=\"border: 1px solid #999; padding: 6px 10px; font-weight: 600; vertical-align: top; width: 160px;\">Schwachstelle<\/td>\n<td style=\"border: 1px solid #999; padding: 6px 10px; vertical-align: top;\">Authentifizierungsumgehung und nicht authentifizierte Remote Code Execution als SYSTEM (\u00fcber \/rps\/api\/json\/UpdateReceivers.do) in Ahsay AhsayCBS, dem Backupserver von Ahsay (v10 sowie v7 bis v9)<\/td>\n<\/tr>\n<tr>\n<td style=\"border: 1px solid #999; padding: 6px 10px; font-weight: 600; vertical-align: top; width: 160px;\">CVE-Nummer<\/td>\n<td style=\"border: 1px solid #999; padding: 6px 10px; vertical-align: top;\">CVE-2026-105133 (Authentifizierungsumgehung) und CVE-2026-105134 (Remote Code Execution)<\/td>\n<\/tr>\n<tr>\n<td style=\"border: 1px solid #999; padding: 6px 10px; font-weight: 600; vertical-align: top; width: 160px;\">Aktiv ausgenutzt<\/td>\n<td style=\"border: 1px solid #999; padding: 6px 10px; vertical-align: top;\">Ja, seit Anfang Oktober 2026. Huntress beobachtete zwischen dem 8. und 11. Oktober drei kompromittierte Server in einer Umgebung; die erste Meldung stammt vom 8. Oktober, die Folgeuntersuchung erschien am 9. November<\/td>\n<\/tr>\n<tr>\n<td style=\"border: 1px solid #999; padding: 6px 10px; font-weight: 600; vertical-align: top; width: 160px;\">Patch verf\u00fcgbar<\/td>\n<td style=\"border: 1px solid #999; padding: 6px 10px; vertical-align: top;\">Ja, AhsayCBS 10.3.4.45 (v10) und 9.15.2.70 (v7 bis v9). Huntress hat nur 10.3.4.45 verifiziert. Das Patchen entfernt bereits platzierte Dateien nicht<\/td>\n<\/tr>\n<\/tbody>\n<\/table>\n<p><strong>Wie wurde die L\u00fccke ausgenutzt?<\/strong><\/p>\n<p>Die Angreifer drangen \u00fcber aus dem Internet erreichbare AhsayCBS-Server ein. Laut der <a href=\"https:\/\/www.huntress.com\/blog\/ahsaycbs-webshells\" target=\"_blank\" rel=\"noopener\">Untersuchung von Huntress<\/a> platzierten sie f\u00fcnf Familien von JSP-Webshells, installierten einen XMRig-Cryptominer mit einer SYSTEM-Aufgabe, die jede Minute ausgef\u00fchrt wird, und richteten ein Python-Implantat ein, das \u00fcber HTTPS und DNS-over-HTTPS mit einem C2-Server kommuniziert. Au\u00dferdem tauchten Tunneling-Tools (gost, chisel), AnyDesk, Atera und Splashtop, ein lokales Konto \u201ewdguest\u201c, Mimikatz und weitreichende Defender-Ausnahmen auf. Eine Webshell versteckte Payloads in PNG-Pixeldaten.<\/p>\n<p><strong>Was k\u00f6nnen die Folgen sein?<\/strong><\/p>\n<p>Die Angreifer suchten gezielt nach Backup-Infrastruktur. Auf einem zugeh\u00f6rigen Veeam-Server versuchten sie, gespeicherte Credentials aus der Datenbank auszulesen. Ein gehackter Backupserver verschafft Zugriff auf Kundendaten, gespeicherte Passw\u00f6rter und die Wiederherstellungsf\u00e4higkeit selbst. Ob tats\u00e4chlich Daten gestohlen wurden, ist unbekannt. Eine Webshell mit Downloadfunktion kann als Exfiltrationskanal dienen.<\/p>\n<p><strong>Was m\u00fcssen IT-Administratoren jetzt tun?<\/strong><\/p>\n<p>Aktualisieren Sie auf die genannten Versionen und suchen Sie anschlie\u00dfend auf jedem Server nach unbekannten .jsp-Dateien, Ordnern wie ahsay_*, unbekannten geplanten Aufgaben, Defender-Ausnahmen und einer Python-Installation im SYSTEM-Profil. Durchsuchen Sie die AhsayCBS-Logs nach Anfragen an UpdateReceivers.do. Bei einer best\u00e4tigten Kompromittierung empfiehlt Huntress eine vollst\u00e4ndige Neuinstallation aus einem vertrauensw\u00fcrdigen Backup sowie die Rotation aller Credentials, die \u00fcber den Server erreichbar waren, einschlie\u00dflich derer anderer Backup-Software im Netzwerk.<\/p>\n<p><a href=\"#top\">nach oben ^<\/a><\/p>\n<h4 id=\"sshole\">SSHole: Bereits gemeldete OpenSSH-L\u00fccke auf musl-Linux wird jetzt aktiv ausgenutzt und von CISA gelistet<\/h4>\n<table style=\"border-collapse: collapse; width: 100%; margin: 0.5em 0 1em;\">\n<tbody>\n<tr>\n<td style=\"border: 1px solid #999; padding: 6px 10px; font-weight: 600; vertical-align: top; width: 160px;\">Schwachstelle<\/td>\n<td style=\"border: 1px solid #999; padding: 6px 10px; vertical-align: top;\">Authentifizierungsumgehung in OpenSSH auf musl-basierten Linux-Systemen wie Alpine: Ein zu langes Passwort f\u00fchrt dazu, dass die Hashfunktion von musl ein \u201e*\u201c zur\u00fcckgibt, das OpenSSH bei Konten mit einem \u201e*\u201c in \/etc\/shadow als g\u00fcltige \u00dcbereinstimmung wertet<\/td>\n<\/tr>\n<tr>\n<td style=\"border: 1px solid #999; padding: 6px 10px; font-weight: 600; vertical-align: top; width: 160px;\">CVE-Nummer<\/td>\n<td style=\"border: 1px solid #999; padding: 6px 10px; vertical-align: top;\">CVE-2026-123158<\/td>\n<\/tr>\n<tr>\n<td style=\"border: 1px solid #999; padding: 6px 10px; font-weight: 600; vertical-align: top; width: 160px;\">CVSS-Score<\/td>\n<td style=\"border: 1px solid #999; padding: 6px 10px; vertical-align: top;\">8,1 (laut The Hacker News)<\/td>\n<\/tr>\n<tr>\n<td style=\"border: 1px solid #999; padding: 6px 10px; font-weight: 600; vertical-align: top; width: 160px;\">Aktiv ausgenutzt<\/td>\n<td style=\"border: 1px solid #999; padding: 6px 10px; vertical-align: top;\">Ja, erste Versuche am 5. November, erste erfolgreiche Angriffe am 6. und 7. November. CISA nahm die L\u00fccke am 9. November in den KEV-Katalog auf<\/td>\n<\/tr>\n<tr>\n<td style=\"border: 1px solid #999; padding: 6px 10px; font-weight: 600; vertical-align: top; width: 160px;\">Patch verf\u00fcgbar<\/td>\n<td style=\"border: 1px solid #999; padding: 6px 10px; vertical-align: top;\">Ja, OpenSSH 10.6p2 (ver\u00f6ffentlicht am 5. November). Alternativ: Passwortauthentifizierung f\u00fcr SSH deaktivieren<\/td>\n<\/tr>\n<\/tbody>\n<\/table>\n<p><strong>Wie wurde die L\u00fccke ausgenutzt?<\/strong><\/p>\n<p>Diese L\u00fccke war bereits Thema im <a href=\"https:\/\/mspbusiness.com\/security-en-privacy\/patchwork-vrijdag-6-november\/\" target=\"_blank\" rel=\"noopener\">Patchwork vom Freitag, 6. November<\/a>. Neu ist die best\u00e4tigte Ausnutzung. Laut <a href=\"https:\/\/www.bleepingcomputer.com\/news\/security\/hackers-exploit-sshole-openssh-flaw-to-breach-linux-systems\/\" target=\"_blank\" rel=\"noopener\">BleepingComputer<\/a> erschien vier Stunden nach dem Patch ein Proof-of-Concept, und GreyNoise beobachtete etwa 40 Stunden nach dem Fix den ersten erfolgreichen Angriff, mit 16 Angriffsketten von sechs IP-Adressen. Previdian z\u00e4hlte Versuche von 13 IP-Adressen in neun L\u00e4ndern, watchTowr beobachtete Botnet- und Cryptominer-Aktivit\u00e4ten. Nach der Anmeldung erkunden die Angreifer das System und den Container, fragen Cloud-Metadaten ab, versuchen Passwort-Hashes und Root-SSH-Schl\u00fcssel auszulesen und passen authorized_keys an, um sich dauerhaft festzusetzen. In einem Fall wurde das Python-Implantat \u201eTAC Agent\u201c installiert.<\/p>\n<p><strong>Was k\u00f6nnen die Folgen sein?<\/strong><\/p>\n<p>Konten mit einem \u201e*\u201c im Passwortfeld, etwa Service-Accounts, sind ohne g\u00fcltiges Passwort zug\u00e4nglich. Bei Konten mit passwortlosen Adminrechten f\u00fchrt das zu Root-Zugriff. Laut <a href=\"https:\/\/thehackernews.com\/2026\/11\/cisa-warns-of-active-exploitation-of.html\" target=\"_blank\" rel=\"noopener\">The Hacker News<\/a> steht die L\u00fccke zusammen mit drei weiteren Schwachstellen im KEV-Katalog, mit dem 12. November als Frist f\u00fcr US-Bundesbeh\u00f6rden. Die Ausnutzung ist laut Defused Cyber noch nicht weit verbreitet.<\/p>\n<p><strong>Was m\u00fcssen IT-Administratoren jetzt tun?<\/strong><\/p>\n<p>Aktualisieren Sie OpenSSH auf 10.6p2 oder neuer oder deaktivieren Sie die SSH-Passwortauthentifizierung. Suchen Sie nach unerwarteten Passwort-Logins bei Konten mit einem \u201e*\u201c in \/etc\/shadow, pr\u00fcfen Sie authorized_keys auf unbekannte Schl\u00fcssel und suchen Sie nach TAC-Agent-Dateien und zugeh\u00f6rigen Startup-Diensten. Achten Sie besonders auf Alpine-Container und andere musl-basierte Images.<\/p>\n<p><a href=\"#top\">nach oben ^<\/a><\/p>\n<h4 id=\"chrome\">Chrome-Update schlie\u00dft aktiv ausgenutzte Zero-Day-L\u00fccke in der XML-Komponente, die achte in diesem Jahr<\/h4>\n<table style=\"border-collapse: collapse; width: 100%; margin: 0.5em 0 1em;\">\n<tbody>\n<tr>\n<td style=\"border: 1px solid #999; padding: 6px 10px; font-weight: 600; vertical-align: top; width: 160px;\">Schwachstelle<\/td>\n<td style=\"border: 1px solid #999; padding: 6px 10px; vertical-align: top;\">Use-after-free in der XML-Komponente von Google Chrome, Teil eines Updates, das neun Schwachstellen schlie\u00dft<\/td>\n<\/tr>\n<tr>\n<td style=\"border: 1px solid #999; padding: 6px 10px; font-weight: 600; vertical-align: top; width: 160px;\">CVE-Nummer<\/td>\n<td style=\"border: 1px solid #999; padding: 6px 10px; vertical-align: top;\">CVE-2026-125350<\/td>\n<\/tr>\n<tr>\n<td style=\"border: 1px solid #999; padding: 6px 10px; font-weight: 600; vertical-align: top; width: 160px;\">Aktiv ausgenutzt<\/td>\n<td style=\"border: 1px solid #999; padding: 6px 10px; vertical-align: top;\">Ja, laut Google. Details zu den Angriffen wurden nicht ver\u00f6ffentlicht, und CISA hatte die L\u00fccke am 10. November noch nicht in den KEV-Katalog aufgenommen<\/td>\n<\/tr>\n<tr>\n<td style=\"border: 1px solid #999; padding: 6px 10px; font-weight: 600; vertical-align: top; width: 160px;\">Patch verf\u00fcgbar<\/td>\n<td style=\"border: 1px solid #999; padding: 6px 10px; vertical-align: top;\">Ja, Chrome 157.0.8103.50 oder neuer (Linux), 157.0.8103.50\/.51 (Windows und Mac)<\/td>\n<\/tr>\n<\/tbody>\n<\/table>\n<p><strong>Was ist passiert?<\/strong><\/p>\n<p>Ein anonymer Forscher meldete die L\u00fccke am 6. November. Google ver\u00f6ffentlichte den Fix am Montag, 9. November, und meldet, dass sie bereits ausgenutzt wird, so <a href=\"https:\/\/www.securityweek.com\/chrome-update-patches-exploited-xml-zero-day-eighth-this-year\/\" target=\"_blank\" rel=\"noopener\">SecurityWeek<\/a>. Es ist die achte Chrome-Zero-Day-L\u00fccke im Jahr 2026. Das Update schlie\u00dft au\u00dferdem sechs Bugs mit hohem Schweregrad, unter anderem in WebGL, FileSystem, Compositing, GPU und V8, sowie zwei Bugs mit mittlerem Schweregrad.<\/p>\n<p><strong>Was k\u00f6nnen die Folgen sein?<\/strong><\/p>\n<p>Chrome ist auf nahezu jedem verwalteten Arbeitsplatz installiert. Ein Use-after-free im Browser ist h\u00e4ufig der erste Schritt eines Angriffs, der \u00fcber eine b\u00f6sartige Seite beginnt. Da Google noch keine Details nennt, ist unklar, wer die L\u00fccke ausnutzt und gegen wen.<\/p>\n<p><strong>Was m\u00fcssen IT-Administratoren jetzt tun?<\/strong><\/p>\n<p>Verteilen Sie Chrome 157.0.8103.50 oder neuer so schnell wie m\u00f6glich \u00fcber Ihr Patchmanagement und pr\u00fcfen Sie, ob der Browser nach dem Update tats\u00e4chlich neu gestartet wurde.<\/p>\n<p><a href=\"#top\">nach oben ^<\/a><\/p>\n<h4 id=\"qubole\">Angreifer missbrauchen Qubole-Anbindung an AWS-Umgebungen von Kunden, um Secrets und S3-Daten zu stehlen<\/h4>\n<table style=\"border-collapse: collapse; width: 100%; margin: 0.5em 0 1em;\">\n<tbody>\n<tr>\n<td style=\"border: 1px solid #999; padding: 6px 10px; font-weight: 600; vertical-align: top; width: 160px;\">Schwachstelle<\/td>\n<td style=\"border: 1px solid #999; padding: 6px 10px; vertical-align: top;\">Missbrauch konto\u00fcbergreifender IAM-Rollen (Cross-Account), die Kunden f\u00fcr den Datenplattform-Anbieter Qubole in AWS angelegt hatten. Die Angreifer nutzten IAM-Credentials eines mit Qubole verkn\u00fcpften AWS-Kontos und \u00fcbernahmen die Rollen mithilfe der ExternalId. Wie diese Credentials erbeutet wurden, wurde nicht bekanntgegeben<\/td>\n<\/tr>\n<tr>\n<td style=\"border: 1px solid #999; padding: 6px 10px; font-weight: 600; vertical-align: top; width: 160px;\">CVE-Nummer<\/td>\n<td style=\"border: 1px solid #999; padding: 6px 10px; vertical-align: top;\">Keine CVE vergeben<\/td>\n<\/tr>\n<tr>\n<td style=\"border: 1px solid #999; padding: 6px 10px; font-weight: 600; vertical-align: top; width: 160px;\">Aktiv ausgenutzt<\/td>\n<td style=\"border: 1px solid #999; padding: 6px 10px; vertical-align: top;\">Ja, vom 14. bis 26. Oktober 2026 in mehreren Kundenumgebungen. Wiz, Sentra und Mandiant ver\u00f6ffentlichten die Erkenntnisse am 9. November<\/td>\n<\/tr>\n<tr>\n<td style=\"border: 1px solid #999; padding: 6px 10px; font-weight: 600; vertical-align: top; width: 160px;\">Patch verf\u00fcgbar<\/td>\n<td style=\"border: 1px solid #999; padding: 6px 10px; vertical-align: top;\">Nein, es handelt sich nicht um eine Softwarel\u00fccke. Administratoren m\u00fcssen Rollen versch\u00e4rfen, Secrets rotieren und CloudTrail durchsuchen<\/td>\n<\/tr>\n<\/tbody>\n<\/table>\n<p><strong>Wie wurde die L\u00fccke ausgenutzt?<\/strong><\/p>\n<p>Laut der <a href=\"https:\/\/www.wiz.io\/blog\/qubole-cross-account-access-abused-in-the-wild\" target=\"_blank\" rel=\"noopener\">Untersuchung von Wiz<\/a> erhalten Anbieter Zugriff \u00fcber eine Rolle im Konto des Kunden, deren Trust Policy es dem Anbieterkonto erlaubt, diese Rolle anzunehmen \u2013 meist abgesichert mit einer ExternalId. Der Angreifer rief sts:AssumeRole mit dieser ExternalId auf, und alle Versuche waren erfolgreich. Wiz weist darauf hin, dass die ExternalId kein Geheimnis ist: Sie steht in CloudTrail und in Infrastructure-as-Code. Eine Einschr\u00e4nkung auf Quell-IP-Adressen h\u00e4tte alle beobachteten Angriffe blockiert. Der Angreifer inventarisierte S3, EC2, RDS, IAM und KMS, las Lambda-Umgebungsvariablen, Secrets Manager und SSM Parameter Store aus, testete gefundene Schl\u00fcssel mit TruffleHog (auch f\u00fcr Entra ID und Okta) und las teilweise komplette S3-Buckets aus.<\/p>\n<p><strong>Was k\u00f6nnen die Folgen sein?<\/strong><\/p>\n<p>Das Muster passt zu fr\u00fcheren Angriffen \u00fcber vertrauensw\u00fcrdige Anbieteridentit\u00e4ten: Ein Einbruch bei einem einzigen Anbieter \u00f6ffnet die Umgebungen all seiner Kunden. Gefundene Secrets verschaffen Zugang zu weiteren Systemen, und das Widerrufen von Sitzungen beendet bestehende tempor\u00e4re Credentials nicht.<\/p>\n<p><strong>Was m\u00fcssen IT-Administratoren jetzt tun?<\/strong><\/p>\n<p>Inventarisieren Sie alle IAM-Rollen, die externen Konten vertrauen, und entfernen Sie, was nicht mehr ben\u00f6tigt wird. Beschr\u00e4nken Sie den vertrauensw\u00fcrdigen Principal auf den spezifischen IAM-Principal des Anbieters und erg\u00e4nzen Sie aws:SourceIp oder aws:SourceVpce. Verwenden Sie die ExternalId nicht als einzige Kontrolle. Suchen Sie in CloudTrail ab dem 1. Oktober nach AssumeRole-Aufrufen aus dem Konto 805246085872 mit einer Quell-IP au\u00dferhalb von AWS, nach Sitzungen mit dem Namen \u201equiam-\u201c und nach GetCallerIdentity-Aufrufen mit einem TruffleHog-User-Agent. Rotieren Sie bei einem Treffer alle Secrets, Parameter und Lambda-Variablen, die die Rolle lesen konnte.<\/p>\n<p><a href=\"#top\">nach oben ^<\/a><\/p>\n","protected":false},"excerpt":{"rendered":"<p>N-able nimmt N-central nach Ver\u00f6ffentlichung von 33 Zero-Days offline, AhsayCBS-Backupserver werden gehackt, SSHole wird aktiv ausgenutzt und Chrome und Qubole erfordern sofortiges Handeln.<\/p>\n","protected":false},"author":1,"featured_media":0,"comment_status":"closed","ping_status":"","sticky":false,"template":"","format":"standard","meta":{"mspb_bron_id":1169614,"mspb_url_nl":"https:\/\/mspbusiness.com\/security-en-privacy\/patchwork-dinsdag-10-november\/","mspb_url_de":"","mspb_url_en":"https:\/\/mspbusiness.com\/en\/security\/patchwork-tuesday-10-november\/","mspb_beeld_url":"https:\/\/mspbusiness.com\/wp-content\/uploads\/2026\/09\/patchwork-P.png","mspb_beeld_klein":"https:\/\/mspbusiness.com\/wp-content\/uploads\/2026\/09\/patchwork-P-400x225.png","mspb_auteur":"Redactie","mspb_beeld_alt":"","mspb_video":"","_yoast_wpseo_metadesc":"N-able nimmt N-central nach 33 Zero-Days offline, AhsayCBS-Backups werden gehackt, SSHole wird aktiv ausgenutzt. Was MSPs jetzt tun m\u00fcssen.","footnotes":""},"categories":[3],"tags":[],"layout":[6],"class_list":["post-280","post","type-post","status-publish","format-standard","hentry","category-security","layout-news"],"_links":{"self":[{"href":"https:\/\/mspbusiness.com\/de\/wp-json\/wp\/v2\/posts\/280","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/mspbusiness.com\/de\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/mspbusiness.com\/de\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/mspbusiness.com\/de\/wp-json\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"https:\/\/mspbusiness.com\/de\/wp-json\/wp\/v2\/comments?post=280"}],"version-history":[{"count":1,"href":"https:\/\/mspbusiness.com\/de\/wp-json\/wp\/v2\/posts\/280\/revisions"}],"predecessor-version":[{"id":281,"href":"https:\/\/mspbusiness.com\/de\/wp-json\/wp\/v2\/posts\/280\/revisions\/281"}],"wp:attachment":[{"href":"https:\/\/mspbusiness.com\/de\/wp-json\/wp\/v2\/media?parent=280"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/mspbusiness.com\/de\/wp-json\/wp\/v2\/categories?post=280"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/mspbusiness.com\/de\/wp-json\/wp\/v2\/tags?post=280"},{"taxonomy":"layout","embeddable":true,"href":"https:\/\/mspbusiness.com\/de\/wp-json\/wp\/v2\/layout?post=280"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}