Remote Code Execution (RCE)

Remote Code Execution (RCE) bezeichnet die Möglichkeit, über eine Netzwerkverbindung auf einem entfernten System unerlaubt Code oder Befehle auszuführen. RCE beschreibt in erster Linie die Auswirkung einer ausgenutzten Sicherheitslücke – nicht deren konkrete technische Ursache.

Wie entsteht Remote Code Execution?

RCE kann auf unterschiedlichen Schwachstellen beruhen, zum Beispiel auf Code- oder Befehlsinjektionen, unsicherer Deserialisierung, Speicherfehlern oder einem unzureichend abgesicherten Datei-Upload. Eine Code Injection ist damit eine mögliche Ursache, aber kein Synonym für jede Remote Code Execution. „Remote“ bedeutet, dass der Angriff über eine Netzwerkverbindung erfolgt; das betroffene System muss nicht zwingend unmittelbar aus dem Internet erreichbar sein. Je nach Schwachstelle können Zugangsdaten, eine Benutzerinteraktion oder bestimmte Konfigurationsbedingungen erforderlich sein.

Mögliche Folgen

Der eingeschleuste Code läuft grundsätzlich mit den Rechten des betroffenen Prozesses oder Dienstes. Angreifende können dadurch beispielsweise Malware oder Ransomware installieren, Daten auslesen oder verändern, zusätzliche Konten anlegen und sich in weitere Systeme bewegen. Eine erfolgreiche Ausnutzung kann deshalb die Vertraulichkeit, Integrität und Verfügbarkeit beeinträchtigen sowie Datendiebstahl oder einen Ausfall verursachen.

Schutzmaßnahmen

Sicherheitsupdates sollten nach einer risikobasierten Priorisierung zeitnah installiert werden. Dabei helfen ein vollständiger Überblick über eingesetzte Systeme, deren Erreichbarkeit und die Bewertung der Schwachstelle, unter anderem mit dem Common Vulnerability Scoring System (CVSS). Ein CVSS-Wert allein ersetzt jedoch keine Betrachtung des konkreten Einsatzkontexts.

Weitere Schutzmaßnahmen sind eine Beschränkung exponierter Dienste, Netzwerksegmentierung, sichere Eingabe- und Dateiverarbeitung, minimale Berechtigungen sowie Protokollierung und Angriffserkennung. Nach einer möglichen Ausnutzung genügt es nicht immer, nur die Schwachstelle zu schließen: Das System sollte zusätzlich auf Manipulationen, Schadsoftware, neu angelegte Zugänge und seitliche Bewegungen im Netzwerk untersucht werden.

Weiterführende Quelle

Die Einordnung von Code Injection als einer möglichen Ursache erläutert MITRE CWE-94.

Cyber-Security-Glossar