Apache ERP Zero-Day מדגיש את הסכנות של תיקונים לא שלמים

הועלה מחדש על ידי אפלטון

עוקב: 0

קבוצות לא ידועות השיקו בדיקות נגד פגיעות של יום אפס שזוהתה במסגרת תכנון המשאבים הארגוניים של Apache (ERP) של Apache - אסטרטגיה פופולרית יותר ויותר של ניתוח תיקונים לדרכים לעקוף תיקוני תוכנה.

הפגיעות של 0 ימים (CVE-2023-51467) ב- Apache OFBiz, שנחשף ב-26 בדצמבר, מאפשר לתוקף לגשת למידע רגיש ולהפעיל מרחוק קוד מול יישומים באמצעות מסגרת ה-ERP, על פי ניתוח של חברת אבטחת הסייבר SonicWall. קרן תוכנת Apache פרסמה במקור תיקון לבעיה קשורה, CVE-2023-49070, אך התיקון לא הצליח להגן מפני וריאציות אחרות של המתקפה.

התקרית מדגישה את האסטרטגיה של התוקפים לבחון בקפידה כל תיקון ששוחרר לאיתור פגיעויות בעלות ערך גבוה - מאמצים שלעתים קרובות מביאים למציאת דרכים לעקוף תיקוני תוכנה, אומר דאגלס מקי, מנהל חקר איומים ב-SonicWall.

"ברגע שמישהו עשה את העבודה הקשה לומר, 'אה, קיימת כאן פגיעות', עכשיו חבורה שלמה של חוקרים או שחקני איומים יכולים להסתכל על הנקודה הצרה האחת הזו, וקצת פתחת את עצמך להרבה יותר בדיקה ," הוא אומר. "משכת את תשומת הלב לאזור הקוד הזה, ואם התיקון שלך לא מוצק או שמשהו התפספס, סביר יותר שהוא יימצא כי יש לך עיניים נוספות עליו."

חוקר SonicWall Hasib Vhora ניתח את התיקון של 5 בדצמבר וגילה דרכים נוספות לנצל את הבעיה, עליה דיווחה החברה ל- Apache Software Foundation ב-14 בדצמבר.

"הסתקרנו מההקלה שנבחרה בעת ניתוח התיקון עבור CVE-2023-49070 וחשדנו שמעקף האימות האמיתי עדיין יהיה קיים מכיוון שהתיקון פשוט הסיר את קוד XML RPC מהאפליקציה," Vhora נאמר בניתוח הנושא. "כתוצאה מכך, החלטנו לחפור בקוד כדי להבין את שורש הבעיה של מעקף ההרשאה."

תרשים של ניסיונות ניצול עבור CVE-2023-51467

התקפות כוונו לפגיעות Apache OfBiz לפני החשיפה שלה ב-26 בדצמבר. מקור: Sonicwall

עד 21 בדצמבר, חמישה ימים לפני פרסום הנושא, SonicWall כבר זיהתה ניסיונות ניצול לבעיה.

תיקון לא מושלם

אפאצ'י לא לבד בשחרור תיקון שתוקפים הצליחו לעקוף. בשנת 2020, שש מתוך 24 נקודות התורפה (25%) שהותקפו באמצעות ניצול של יום אפס היו וריאציות על בעיות אבטחה שתוקנו בעבר, לפי נתונים שפורסמו על ידי קבוצת ניתוח האיומים של גוגל (TAG). עד 2022, 17 מתוך 41 נקודות התורפה שהותקפו על ידי ניצול של יום אפס (41%) היו גרסאות של בעיות שתוקנו בעבר, Google נאמר בניתוח מעודכן.

הסיבות לכך שחברות לא מצליחות לתקן בעיה מלאה הן רבות, מחוסר הבנה של שורש הבעיה ועד להתמודדות עם צבר עצום של פגיעויות תוכנה ועד לתעדוף תיקון מיידי על פני תיקון מקיף, אומר ג'ארד סמראו, מנהל בכיר ב-Google Mandiant's קבוצת פגיעות וניצול.

"אין תשובה פשוטה ויחידה מדוע זה קורה", הוא אומר. "יש כמה גורמים שיכולים לתרום ל[תיקון לא שלם], אבל [חוקרי SonicWall] צודקים לחלוטין - הרבה פעמים חברות פשוט מתקנות את וקטור ההתקפה הידוע."

גוגל צופה שהנתח של ניצול של יום אפס המכוון לפרצות שלא תוקנו לחלוטין יישאר גורם משמעותי. מנקודת המבט של התוקף, קשה למצוא פגיעויות באפליקציה מכיוון שחוקרים ושחקני איומים צריכים להסתכל דרך 100,000 או מיליוני שורות קוד. על ידי התמקדות בנקודות תורפה מבטיחות שאולי לא תוקנו כראוי, התוקפים יכולים להמשיך לתקוף נקודת תורפה ידועה במקום להתחיל מאפס.

תיקון דרך אוףBiz

במובנים רבים, זה מה שקרה עם הפגיעות של Apache OfBiz. הדוח המקורי תיאר שתי בעיות: פגם ב-RCE שדרש גישה לממשק XML-RPC (CVE-2023-49070) ובעיית עקיפת אימות שסיפקה לתוקפים לא מהימנים גישה זו. קרן התוכנה Apache האמינה שהסרת נקודת הקצה XML-RPC תמנע את ניצול שתי הבעיות, צוות תגובת האבטחה של ASF מסר תגובה לשאלות מ-Dark Reading.

"למרבה הצער פספסנו שאותו מעקף אימות השפיע גם על נקודות קצה אחרות, לא רק על ה-XML-RPC", אמר הצוות. "ברגע שנודע לנו, התיקון השני הונפק תוך שעות."

הפגיעות, שמעקבה אפאצ'י כ-OFBIZ-12873, "מאפשרת לתוקפים לעקוף את האימות כדי להשיג זיוף פשוט של בקשת צד שרת (SSRF)," דיפאק דיקסיט, חבר בקרן תוכנת אפאצ'י, מופיע ברשימת התפוצה של Openwall. הוא זיכה את חוקר האיומים של SonicWall Hasib Vhora ושני חוקרים נוספים - Gao Tian ו-L0ne1y - עם מציאת הבעיה.

מכיוון ש- OfBiz היא מסגרת, ולפיכך חלק משרשרת אספקת התוכנה, ההשפעה של הפגיעות עלולה להיות נרחבת. הפרויקט הפופולרי של Atlassian Jira ותוכנת מעקב אחר בעיות, למשל, משתמש בספריית OfBiz, אך האם הניצול יכול להתבצע בהצלחה בפלטפורמה עדיין לא ידוע, אומר McKee של Sonicwall.

"זה יהיה תלוי באופן שבו כל חברה מעצבת את הרשת שלה, באופן שבו היא תגדיר את התוכנה", הוא אומר. "הייתי אומר שלתשתית טיפוסית לא תהיה גישה כזו לאינטרנט, שהיא תדרוש סוג כלשהו של VPN או גישה פנימית."

בכל מקרה, חברות צריכות לנקוט בצעדים ולתקן כל אפליקציה שידועה בשימוש ב-OfBiz לגרסה העדכנית ביותר, אמר צוות תגובת האבטחה של ASF.

"ההמלצה שלנו לחברות המשתמשות ב-Apache OFBiz היא לעקוב אחר שיטות אבטחה מומלצות, כולל רק מתן גישה למערכות לאותם משתמשים הזקוקים לכך, הקפדה על עדכון שוטף של התוכנה שלך, וודא שאתה מצויד היטב להגיב כאשר אבטחה הייעוץ מתפרסם", אמרו.