Apache ERP Zero-Day understryker farorna med ofullständiga patchar

Apache ERP Zero-Day understryker farorna med ofullständiga patchar

Tidsstämpel: 4 januari 2024 4:00

Okända grupper har lanserat undersökningar mot en nolldagarssårbarhet som identifierats i Apaches OfBiz Enterprise Resource Planning (ERP) ramverk – en allt mer populär strategi för att analysera patchar för sätt att kringgå programvarufixar.

0-dagars sårbarhet (CVE-2023-51467) i Apache OFBiz, som avslöjades den 26 december, tillåter en angripare att komma åt känslig information och fjärrexekvera kod mot applikationer som använder ERP-ramverket, enligt en analys av cybersäkerhetsföretaget SonicWall. Apache Software Foundation hade ursprungligen släppt en patch för ett relaterat problem, CVE-2023-49070, men korrigeringen kunde inte skydda mot andra varianter av attacken.

Incidenten belyser angriparnas strategi att granska alla patchar som släpps för att hitta värdefulla sårbarheter – ansträngningar som ofta resulterar i att hitta vägar kring programvarufixar, säger Douglas McKee, verkställande direktör för hotforskning på SonicWall.

"När någon har gjort det hårda arbetet med att säga, 'Åh, det finns en sårbarhet här', nu kan ett helt gäng forskare eller hotaktörer titta på den där smala platsen, och du har liksom öppnat dig för mycket mer granskning ," han säger. "Du har uppmärksammat det kodområdet, och om din patch inte är stensäker eller något missades, är det mer sannolikt att det hittas eftersom du har extra ögon på det."

SonicWall-forskaren Hasib Vhora analyserade patchen den 5 december och upptäckte ytterligare sätt att utnyttja problemet, vilket företaget rapporterade till Apache Software Foundation den 14 december. 

"Vi var fascinerade av den valda begränsningen när vi analyserade patchen för CVE-2023-49070 och misstänkte att den verkliga förbikopplingen av autentisering fortfarande skulle finnas eftersom patchen helt enkelt tog bort XML RPC-koden från applikationen," Vhora angavs i en analys av frågan. "Som ett resultat bestämde vi oss för att gräva i koden för att ta reda på grundorsaken till problemet med auth-bypass."

Diagram över utnyttjandeförsök för CVE-2023-51467

Attacker riktade sig mot Apache OfBiz-sårbarheten innan dess avslöjande den 26 december. Källa: Sonicwall

Den 21 december, fem dagar innan frågan offentliggjordes, hade SonicWall redan identifierat exploateringsförsök för problemet. 

Patch Imperfect

Apache är inte ensam om att släppa en patch som angripare har lyckats kringgå. År 2020 var sex av de 24 sårbarheterna (25 %) som attackerades med hjälp av nolldagsutnyttjande varianter av tidigare korrigerade säkerhetsproblem, enligt data släppt av Googles Threat Analysis Group (TAG). År 2022 var 17 av de 41 sårbarheter som attackerades av zero-day exploits (41 %) varianter av tidigare korrigerade problem, Google framgår av en uppdaterad analys.

Anledningarna till att företag misslyckas med att korrigera ett problem är många, från att inte förstå grundorsaken till problemet till att hantera enorma eftersläpningar av mjukvarusårbarheter till att prioritera en omedelbar korrigering framför en omfattande korrigering, säger Jared Semrau, senior manager på Google Mandiant's sårbarhets- och exploateringsgrupp. 

"Det finns inget enkelt, enskilt svar på varför detta händer", säger han. "Det finns flera faktorer som kan bidra till [en ofullständig patch], men [SonicWall-forskare] har helt rätt - många gånger patchar företag bara den kända attackvektorn."

Google förväntar sig att andelen zero-day exploits som riktar sig mot ofullständigt korrigerade sårbarheter förblir en betydande faktor. Ur angriparperspektivet är det svårt att hitta sårbarheter i en applikation eftersom forskare och hotaktörer måste titta igenom 100,000 XNUMX-tals eller miljontals rader kod. Genom att fokusera på lovande sårbarheter som kanske inte har korrigerats ordentligt, kan angripare fortsätta att attackera en känd svag punkt istället för att börja om från början.

A Way Around OfBiz Fix

På många sätt är det vad som hände med Apache OfBiz-sårbarheten. Den ursprungliga rapporten beskrev två problem: ett RCE-fel som krävde åtkomst till XML-RPC-gränssnittet (CVE-2023-49070) och ett problem med förbikoppling av autentisering som gav opålitliga angripare denna åtkomst. Apache Software Foundation trodde att borttagning av XML-RPC-slutpunkten skulle förhindra att båda problemen utnyttjas, sa ASFs säkerhetssvarsteam ett svar på frågor från Dark Reading.

"Tyvärr missade vi att samma autentiseringsbypass också påverkade andra slutpunkter, inte bara XML-RPC-en," sa teamet. "När vi blev medvetna, utfärdades det andra plåstret inom några timmar."

Sårbarheten, spårad av Apache som OFBIZ-12873, "gör det möjligt för angripare att kringgå autentisering för att uppnå en enkel Server-Side Request Forgery (SSRF)," Deepak Dixit, medlem på Apache Software Foundation, anges på Openwalls e-postlista. Han krediterade SonicWall-hotforskaren Hasib Vhora och två andra forskare - Gao Tian och L0ne1y - för att ha hittat problemet.

Eftersom OfBiz är ett ramverk, och därmed en del av mjukvaruförsörjningskedjan, kan effekterna av sårbarheten vara utbredda. Det populära Atlassian Jira-projektet och problemspårningsmjukvaran använder till exempel OfBiz-biblioteket, men huruvida exploateringen skulle kunna utföras på plattformen är fortfarande okänt, säger Sonicwalls McKee.

"Det kommer att bero på hur varje företag skapar sitt nätverk, hur de konfigurerar programvaran", säger han. "Jag skulle säga att en typisk infrastruktur inte skulle ha denna Internet-vända, att den skulle kräva någon typ av VPN eller intern åtkomst."

I vilket fall som helst bör företag vidta åtgärder och korrigera alla applikationer som är kända för att använda OfBiz till den senaste versionen, sa ASFs säkerhetsteam. 

"Vår rekommendation till företag som använder Apache OFBiz är att följa säkerhetspraxis, inklusive att endast ge åtkomst till system till de användare som behöver det, se till att regelbundet uppdatera din programvara och se till att du är väl rustad att svara när en säkerhet råd publiceras”, sa de.

Tidsstämpel:

Mer från Mörk läsning