Kritična ranljivost v spletnem odprtokodnem ogrodju Cacti za spremljanje zmogljivosti omrežja daje napadalcem možnost, da razkrijejo celotno vsebino baze podatkov Cacti – kar predstavlja veliko tveganje za organizacije.
Na tisoče spletnih mest uporablja Cacti za zbiranje informacij o zmogljivosti omrežja, kot so tiste, ki se nanašajo na uporabo pasovne širine, uporabo procesorja in pomnilnika ter V/I diska – iz naprav, kot so usmerjevalniki, stikala in strežniki. Organizacije uporabljajo zbrane podatke za zapolnitev pripomočka Round Robin Database (RRDTool), tako da lahko iz njih ustvarijo grafične in vizualne meritve.
Kot tak sega v celoten odtis IT znotraj organizacije – kibernetskim napadalcem ponuja neprecenljive priložnosti za izvidovanje, pa tudi središčno točko za poglobitev v omrežje.
Pomembno je, da bi napadalec lahko tudi povezal CVE-2023-51448 z drugo, predhodno razkrito ranljivostjo Cacti - CVE-2023-49084 —za doseganje oddaljenega izvajanja kode (RCE) na ranljivih sistemih.
CVE-2023-51448 v kaktusih: nezadostna sanacija
Ranljivost, ki jo spremljamo kot CVE-2023-51448, je prisoten v različici Cacti 1.2.25. Kaktusi imajo izdal posodobljeno različico programske opreme, ki odpravlja napako.
Težava je povezana s tem, da aplikacija ne čisti pravilno vhodnih podatkov, s čimer pušča odprto pot za tisto, kar je znano kot napad s slepim vbrizgavanjem SQL. GitHub je ranljivosti dodelil oceno resnosti 8.8 od največ možnih 10 na lestvici CVSS 3.1 in jo opisal kot težavo, ki zahteva, da ima napadalec le nizke privilegije za izkoriščanje.
Matthew Hogg, varnostni raziskovalec iz Synopsysa, ki
odkrili ranljivost in prejšnji mesec prijavil vzdrževalcem Cacti, pravi, da bi napadalec za izkoriščanje napake potreboval overjen račun s privilegijem »Poravnava/pripomočki«.
»Iskanje sistemov, ki poganjajo Cacti, je nepomembno, saj lahko zlonamerni igralec uporabi storitev, kot je Shodan, za poizvedbo o živih sistemih,« pravi Hogg. "Zlonamerni igralec, ki uporablja [Shodan], bi lahko avtomatiziral svoje začetno izvidovanje, da bi našel sisteme, ki izvajajo ranljive različice, da bi osredotočili svoje dejavnosti."
Od ponedeljka zjutraj je iskalnik Shodan navedel več kot 4,000 gostiteljev Cacti, ki potencialno izvajajo ranljive različice Cacti, pravi.
Po Hoggovih besedah bi moral za sprožitev CVE-2023-51448 preverjeni napadalec s privilegiji za nastavitve/pripomočke poslati posebej izdelano zahtevo HTTP GET s obremenitvijo vbrizgavanja SQL na končno točko '/managers.php'.
»Z uporabo slepe tehnike SQL lahko napadalec razkrije vsebino baze podatkov Cacti ali sproži oddaljeno izvajanje kode (RCE),« pravi Hogg.
Slepi SQL pomeni, da so množični napadi malo verjetni, vendar je še vedno trn problem
Pri napadu s slepim vbrizgavanjem SQL napadalci ne vidijo neposrednega rezultata vbrizgane poizvedbe SQL. Namesto tega morajo poskusiti sklepati na podlagi tega, kako bi se aplikacija lahko odzvala.
»Blind se pogosto uporablja za opis vbrizgavanja SQL, pri katerem se rezultati ne vrnejo neposredno napadalcu, ampak se sklepajo zunajpasovno z uporabo oraklja,« pravi Hogg, ki se nanaša na zunanje vire informacij, kot so sporočila o napakah in časovne zamude. »V tem primeru se lahko časovno zasnovan orakelj uporabi za preverjanje, ali je izpolnjen nek logični pogoj. Razlika med odzivnimi časi se uporablja za oceno, ali je bil pogoj izpolnjen, kar bi lahko na primer preverjanje vrednosti znaka, ki ga želi napadalec razkriti.«
Napade s slepim vbrizgavanjem SQL je težko izvesti v množičnem obsegu. Vendar pa lahko napadalec z dostopom do računa z zahtevanimi privilegiji z lahkoto izkoristi ranljivost v Cactiju, ugotavlja Hogg. "Slepe injekcije SQL je enostavno izvesti, vendar jih je težko izkoristiti zaradi narave vektorja napada."
Vendar pa varnostni raziskovalec glede možnosti za veriženje ranljivosti z zgoraj omenjeno napako pravi: "Kompetentni napadalec, ki izpolnjuje predpogoje za CVE-2023-49084, bi lahko izvedel CVE-2023-51448 na trivialen način."
Najnovejša ranljivost je ena od številnih, o katerih so raziskovalci poročali v Cacti v preteklem letu. Eden resnejših med njimi je CVE-2022-46169, neavtentificirana ranljivost vbrizgavanja ukazov, razkrita lani januarja, za katero je izkoriščanje postalo javno dostopno nekaj mesecev pozneje. Druga je CVE-2023-39362, ranljivost, razkrita junija, za katero so izkoriščanja javno dostopna oktobra.
- Distribucija vsebine in PR s pomočjo SEO. Okrepite se še danes.
- PlatoData.Network Vertical Generative Ai. Opolnomočite se. Dostopite tukaj.
- PlatoAiStream. Web3 Intelligence. Razširjeno znanje. Dostopite tukaj.
- PlatoESG. Ogljik, CleanTech, Energija, Okolje, sončna energija, Ravnanje z odpadki. Dostopite tukaj.
- PlatoHealth. Obveščanje o biotehnologiji in kliničnih preskušanjih. Dostopite tukaj.
- vir: https://www.darkreading.com/vulnerabilities-threats/cacti-monitoring-tool-critical-sql-injection-vulnerability
- :ima
- : je
- :ne
- 000
- 1
- 10
- 25
- 7
- 8
- a
- Sposobna
- dostop
- Račun
- Doseči
- dejavnosti
- naslovi
- Prav tako
- med
- an
- in
- Še ena
- aplikacija
- uporaba
- SE
- AS
- dodeljena
- napad
- Napadi
- overjena
- avtomatizirati
- Na voljo
- pasovna širina
- temeljijo
- BE
- postanejo
- med
- Bug
- vendar
- by
- CAN
- primeru
- verige
- značaja
- preveriti
- preverjanje
- Koda
- zbiranje
- pristojni
- stanje
- Vsebina
- bi
- izdelana
- ustvarjajo
- kritično
- datum
- Baze podatkov
- globlje
- zamude
- opisati
- opisano
- naprave
- težko
- neposredna
- neposredno
- Razkrije
- do
- 2
- enostavnost
- lahka
- Končna točka
- Celotna
- Napaka
- oceniti
- Primer
- izvršiti
- izvedba
- Izkoristite
- izkorišča
- zunanja
- Nekaj
- Najdi
- iskanje
- napaka
- Osredotočite
- Odtis
- za
- Okvirni
- iz
- dobili
- GitHub
- daje
- Go
- Grafično
- Trdi
- Imajo
- he
- Gostitelji
- Kako
- Vendar
- HTML
- http
- HTTPS
- if
- in
- Podatki
- začetna
- vhod
- Namesto
- v
- neprecenljivo
- vprašanje
- IT
- januar
- jpg
- junij
- znano
- Zadnja
- pozneje
- Zadnji
- uhajanje
- odhodu
- kot
- Navedeno
- v živo
- nizka
- zlonamerno
- Način
- Masa
- največja
- pomeni
- Spomin
- sporočil
- pol
- Meritve
- morda
- Ponedeljek
- spremljanje
- mesec
- mesecev
- več
- Jutro
- Narava
- Nimate
- mreža
- nst
- Opombe
- oktober
- of
- off
- ponujanje
- pogosto
- on
- ONE
- samo
- odprite
- open source
- Priložnosti
- or
- Oracle
- Organizacija
- organizacije
- ven
- več
- preteklosti
- pot
- performance
- PHP
- pivot
- platon
- Platonova podatkovna inteligenca
- PlatoData
- Točka
- mogoče
- potencial
- potencialno
- predpogoji
- predstaviti
- prej
- privilegij
- privilegiji
- pravilno
- javno
- ocena
- dosežejo
- povezane
- daljinsko
- Prijavljeno
- zahteva
- obvezna
- zahteva
- raziskovalec
- raziskovalci
- Odzove
- Odgovor
- povzroči
- Rezultati
- Tveganje
- Robin
- krog
- tek
- s
- pravi
- Lestvica
- Iskalnik
- varnost
- glej
- pošljite
- resno
- Strežniki
- Storitev
- več
- So
- Software
- nekaj
- vir
- Viri
- posebej
- Še vedno
- taka
- sistemi
- tehnika
- kot
- da
- O
- njihove
- Njih
- s tem
- jih
- ta
- krat
- čas
- do
- orodje
- sprožijo
- poskusite
- malo verjetno
- posodobljeno
- Uporaba
- uporaba
- Rabljeni
- uporabo
- pripomoček
- vrednost
- različica
- različice
- vizualna
- ranljivost
- Ranljivi
- želi
- je
- način..
- Web-Based
- spletne strani
- Dobro
- Kaj
- Kaj je
- ki
- WHO
- z
- v
- bi
- leto
- zefirnet