يمكن استغلال سلسلة من الثغرات الأمنية على منصة إدارة الأصول الشهيرة Device42 لمنح المهاجمين وصولاً كاملاً إلى الجذر للنظام ، وفقًا لـ Bitdefender.
من خلال استغلال ثغرة أمنية في تنفيذ التعليمات البرمجية عن بُعد (RCE) في مثيل التدريج للنظام الأساسي ، يمكن للمهاجمين الحصول بنجاح على وصول كامل للجذر والتحكم الكامل في الأصول الموجودة بداخله ، Bitdefender كتب الباحثون في التقرير. ثغرة RCE (CVE-2022-1399) لها نقاط أساسية تبلغ 9.1 من 10 وتم تصنيفها "حرجة" ، كما يوضح بوجدان بوتيزاتو ، مدير أبحاث التهديدات وإعداد التقارير في Bitdefender.
وأشار التقرير إلى أنه "من خلال استغلال هذه المشكلات ، يمكن للمهاجم انتحال شخصية مستخدمين آخرين ، والحصول على وصول مستوى المسؤول في التطبيق (عن طريق تسريب الجلسة مع LFI) أو الحصول على وصول كامل إلى ملفات الجهاز وقاعدة البيانات (من خلال تنفيذ التعليمات البرمجية عن بُعد)".
تسمح ثغرات RCE للمهاجمين بالتلاعب بالمنصة لتنفيذ تعليمات برمجية غير مصرح بها كجذر - أقوى مستوى وصول على الجهاز. يمكن أن يؤدي هذا الرمز إلى اختراق التطبيق بالإضافة إلى البيئة الافتراضية التي يعمل عليها التطبيق.
للوصول إلى مشكلة عدم حصانة تنفيذ التعليمات البرمجية عن بُعد ، يحتاج المهاجم الذي ليس لديه أذونات على النظام الأساسي (مثل موظف عادي خارج فريق تكنولوجيا المعلومات وفرق مكتب الخدمة) إلى تجاوز المصادقة أولاً والوصول إلى النظام الأساسي.
تسلسل العيوب في الهجمات
يمكن تحقيق ذلك من خلال ثغرة أمنية أخرى موصوفة في الورقة ، CVE-2022-1401 ، والتي تتيح لأي شخص على الشبكة قراءة محتويات العديد من الملفات الحساسة في الجهاز Device42.
يتم تشفير مفاتيح الجلسة التي تحتوي على الملف ، ولكن هناك ثغرة أمنية أخرى موجودة في الجهاز (CVE-2022-1400) تساعد المهاجم على استرداد مفتاح فك التشفير الذي تم ترميزه بشكل ثابت في التطبيق.
يقول بوتزاتو: "ستبدو عملية السلسلة التعاقبية على النحو التالي: سيستخدم المهاجم غير المتميز وغير المصدق على الشبكة أولاً CVE-2022-1401 لجلب الجلسة المشفرة لمستخدم تمت مصادقته بالفعل".
سيتم فك تشفير هذه الجلسة المشفرة باستخدام المفتاح المشفر في الجهاز ، وذلك بفضل CVE-2022-1400. في هذه المرحلة ، يصبح المهاجم مستخدمًا مصدقًا عليه.
يقول بوتزاتو: "بمجرد تسجيل الدخول ، يمكنهم استخدام CVE-2022-1399 لاختراق الجهاز بشكل كامل والتحكم الكامل في الملفات ومحتويات قاعدة البيانات ، وتنفيذ البرامج الضارة وما إلى ذلك". "هذه هي الطريقة ، من خلال التسلسل المتسلسل لنقاط الضعف الموصوفة ، يمكن للموظف المنتظم أن يتحكم بشكل كامل في الجهاز والأسرار المخزنة بداخله."
ويضيف أنه يمكن اكتشاف هذه الثغرات الأمنية من خلال إجراء تدقيق أمني شامل للتطبيقات التي على وشك أن يتم نشرها عبر المؤسسة.
يقول: "لسوء الحظ ، يتطلب هذا توافر مواهب وخبرات كبيرة في المنزل أو بموجب عقد". "يتمثل جزء من مهمتنا في الحفاظ على أمان العملاء في تحديد نقاط الضعف في التطبيقات وأجهزة إنترنت الأشياء ، ثم الكشف المسؤول عن النتائج التي توصلنا إليها للبائعين المتأثرين حتى يتمكنوا من العمل على الإصلاحات".
تمت معالجة هذه الثغرات الأمنية. تلقى Bitdefender الإصدار 18.01.00 قبل الإصدار العام وتمكن من التحقق من أن الثغرات الأمنية الأربعة المبلغ عنها - CVE-2022-1399 و CVE-2022-1400 و CVE 2022-1401 و CVE-2022-1410 - لم تعد موجودة. يقول إنه يجب على المنظمات نشر الإصلاحات على الفور.
في وقت سابق من هذا الشهر ، كان هناك خطأ حرج في RCE اكتشف في موجهات DrayTek ، التي عرّضت الشركات الصغيرة والمتوسطة لهجمات النقر الصفري - إذا تم استغلالها ، يمكن أن تمنح المتسللين سيطرة كاملة على الجهاز ، إلى جانب الوصول إلى الشبكة الأوسع.
