Remote Code Execution (RCE) ist eine Klasse von Sicherheitslücken, über die ein Angreifer eigene Befehle oder Programme über das Netzwerk auf einem fremden Computer oder Server ausführen kann.
Wie RCE funktioniert
RCE entsteht, wenn ein Programm Daten eines Angreifers als etwas Ausführbares behandelt. Typische Ursachen:
- Speicherfehler wie Pufferüberläufe und Use-after-free;
- unsichere Deserialisierung;
- Befehls- und Template-Injection;
- Datei-Uploads, die in einem ausführbaren Verzeichnis landen.
Der Angreifer schickt eine präparierte Anfrage, Datei oder ein Netzwerkpaket, und der verwundbare Dienst führt die Schadfunktion mit seinen eigenen Rechten aus.
Zwei Lehrbuchbeispiele:
- EternalBlue (MS17-010) ist eine SMB-Lücke, über die sich 2017 WannaCry verbreitete.
- Log4Shell (CVE-2021-44228) steckte in der Logging-Bibliothek Log4j. Eine einzige Zeichenkette in einer Logmeldung löste sie aus, und sie erhielt die Höchstwertung 10.0 im CVSS.
Warum RCE so gefährlich ist
RCE ist die gefährlichste Art von Sicherheitslücke: Aus einem Programmierfehler wird die volle Kontrolle über das System. Besonders kritisch sind Lücken, die weder Anmeldung noch Nutzerinteraktion erfordern („pre-auth“, „zero-click“). Sie werden oft schon wenige Stunden nach der Veröffentlichung automatisiert im ganzen Internet ausgenutzt.
Über RCE in VPN-Gateways, Firewalls, Mail- und Webservern installieren Angreifer Backdoors, verteilen Ransomware oder bauen Botnetze auf.
Schutzmaßnahmen
- Patchen Sie zuerst Systeme, die aus dem Internet erreichbar sind. Beobachten Sie den CISA-Katalog Known Exploited Vulnerabilities (KEV).
- Führen Sie ein Inventar von Software und Bibliotheken, damit Sie wissen, wo eine verwundbare Komponente eingesetzt wird.
- Betreiben Sie Dienste mit minimalen Rechten und isolieren Sie sie in Containern oder eigenen Netzsegmenten.
- Prüfen Sie Eingaben, verzichten Sie auf unsichere Deserialisierer und nutzen Sie für neuen Code speichersichere Sprachen.
