V napravi za upravljanje sredstev Device42 so odkrili več ranljivosti

Vrsto ranljivosti na priljubljeni platformi za upravljanje sredstev Device42 bi lahko izkoristili, da bi napadalcem omogočili popoln korenski dostop do sistema, pravi Bitdefender.

Z izkoriščanjem ranljivosti oddaljenega izvajanja kode (RCE) v uprizoritveni instanci platforme lahko napadalci uspešno pridobijo popoln korenski dostop in pridobijo popoln nadzor nad sredstvi, shranjenimi v Bitdefenderju. so v poročilu zapisali raziskovalci. Ranljivost RCE (CVE-2022-1399) ima osnovno oceno 9.1 od 10 in je ocenjena kot "kritična," pojasnjuje Bogdan Botezatu, direktor raziskave groženj in poročanja pri Bitdefenderju.

"Z izkoriščanjem teh težav bi lahko napadalec lažno predstavljal druge uporabnike, pridobil skrbniški dostop v aplikaciji (s puščanjem seje z LFI) ali pridobil popoln dostop do datotek in baze podatkov naprave (prek oddaljenega izvajanja kode)," je zapisano v poročilu.

Ranljivosti RCE omogočajo napadalcem, da manipulirajo s platformo za izvajanje nepooblaščene kode kot root – najmočnejša raven dostopa v napravi. Takšna koda lahko ogrozi aplikacijo kot tudi virtualno okolje, v katerem se aplikacija izvaja.

Da bi prišel do ranljivosti oddaljenega izvajanja kode, mora napadalec, ki nima dovoljenj na platformi (kot je običajen uslužbenec zunaj IT in servisnih skupin), najprej zaobiti avtentikacijo in pridobiti dostop do platforme.

Veriženje napak v napadih

To je mogoče omogočiti z drugo ranljivostjo, opisano v dokumentu, CVE-2022-1401, ki vsem v omrežju omogoča branje vsebine več občutljivih datotek v napravi Device42.

Ključi seje za shranjevanje datotek so šifrirani, vendar druga ranljivost v napravi (CVE-2022-1400) pomaga napadalcu pridobiti ključ za dešifriranje, ki je trdo kodiran v aplikaciji.

»Verižni proces bi izgledal takole: neprivilegiran, nepreverjen napadalec v omrežju bi najprej uporabil CVE-2022-1401 za pridobitev šifrirane seje že overjenega uporabnika,« pravi Botezatu.

Ta šifrirana seja bo dešifrirana s ključem, ki je trdo kodiran v napravi, zahvaljujoč CVE-2022-1400. Na tej točki napadalec postane overjen uporabnik.

»Ko se prijavijo, lahko uporabijo CVE-2022-1399 za popolno ogrožanje stroja in pridobitev popolnega nadzora nad datotekami in vsebino baze podatkov, izvajanje zlonamerne programske opreme in tako naprej,« pravi Botezatu. "Tako lahko z verižnim povezovanjem opisanih ranljivosti redni zaposleni prevzame popoln nadzor nad napravo in skrivnostmi, shranjenimi v njej."

Dodaja, da je te ranljivosti mogoče odkriti z izvajanjem temeljite varnostne revizije za aplikacije, ki bodo kmalu nameščene v organizaciji.

"Na žalost to zahteva veliko talenta in strokovnega znanja, da so na voljo doma ali po pogodbi," pravi. »Del našega poslanstva, da zaščitimo stranke, je identificirati ranljivosti v aplikacijah in napravah IoT ter nato odgovorno razkriti naše ugotovitve prizadetim prodajalcem, da lahko delajo na popravkih.«

Te ranljivosti so bile odpravljene. Bitdefender je prejel različico 18.01.00 pred javno objavo in je lahko potrdil, da štiri sporočene ranljivosti – CVE-2022-1399, CVE-2022-1400, CVE 2022-1401 in CVE-2022-1410 – niso več prisotne. Organizacije bi morale takoj uvesti popravke, pravi.

V začetku tega meseca je bila kritična napaka RCE odkril v usmerjevalnikih DrayTek, ki so mala in srednja podjetja izpostavila napadom z ničelnimi kliki - če bi jih izkoristili, bi lahko hekerjem omogočili popoln nadzor nad napravo, skupaj z dostopom do širšega omrežja.