พบช่องโหว่หลายจุดใน Device42 Asset Management Appliance

ชุดของช่องโหว่บนแพลตฟอร์มการจัดการสินทรัพย์ยอดนิยม Device42 อาจถูกโจมตีเพื่อให้ผู้โจมตีสามารถเข้าถึงระบบได้อย่างสมบูรณ์ตาม Bitdefender

ด้วยการใช้ประโยชน์จากช่องโหว่การเรียกใช้โค้ดจากระยะไกล (RCE) ในอินสแตนซ์การแสดงบนเวทีของแพลตฟอร์ม ผู้โจมตีสามารถเข้าใช้รูทแบบเต็มได้สำเร็จและเข้าควบคุมทรัพย์สินภายใน Bitdefender ได้อย่างสมบูรณ์ นักวิจัยเขียนไว้ในรายงาน. ช่องโหว่ RCE (CVE-2022-1399) มีคะแนนฐาน 9.1 จาก 10 และได้รับการจัดประเภทเป็น “วิกฤต” Bogdan Botezatu ผู้อำนวยการฝ่ายวิจัยและการรายงานภัยคุกคามที่ Bitdefender อธิบาย

“โดยใช้ประโยชน์จากปัญหาเหล่านี้ ผู้โจมตีสามารถแอบอ้างเป็นผู้ใช้รายอื่น รับสิทธิ์การเข้าถึงระดับผู้ดูแลระบบในแอปพลิเคชัน (โดยการรั่วไหลของเซสชันด้วย LFI) หรือเข้าถึงไฟล์อุปกรณ์และฐานข้อมูลอย่างเต็มรูปแบบ (ผ่านการเรียกใช้โค้ดจากระยะไกล)” รายงานระบุ

ช่องโหว่ RCE ช่วยให้ผู้โจมตีสามารถจัดการแพลตฟอร์มเพื่อรันโค้ดที่ไม่ได้รับอนุญาตในฐานะรูท ซึ่งเป็นระดับการเข้าถึงที่ทรงพลังที่สุดในอุปกรณ์ รหัสดังกล่าวสามารถประนีประนอมแอปพลิเคชันและสภาพแวดล้อมเสมือนที่แอปกำลังทำงานอยู่

เพื่อเข้าถึงช่องโหว่ในการเรียกใช้โค้ดจากระยะไกล ผู้โจมตีที่ไม่มีสิทธิ์อนุญาตบนแพลตฟอร์ม (เช่น พนักงานประจำนอกทีมไอทีและฝ่ายบริการ) จำเป็นต้องข้ามการตรวจสอบสิทธิ์และเข้าถึงแพลตฟอร์มก่อน

การผูกมัดข้อบกพร่องในการโจมตี

สิ่งนี้สามารถทำได้ผ่านช่องโหว่อื่นที่อธิบายไว้ในเอกสาร CVE-2022-1401 ซึ่งช่วยให้ทุกคนในเครือข่ายอ่านเนื้อหาของไฟล์ที่มีความละเอียดอ่อนหลายไฟล์ในอุปกรณ์ Device42

คีย์เซสชันที่เก็บไฟล์ได้รับการเข้ารหัส แต่มีช่องโหว่อื่นในอุปกรณ์ (CVE-2022-1400) ช่วยให้ผู้โจมตีเรียกค้นคีย์การถอดรหัสที่ฮาร์ดโค้ดไว้ในแอป

“กระบวนการ Daisy-Chain จะมีลักษณะดังนี้: ผู้โจมตีที่ไม่มีสิทธิ์และไม่ผ่านการตรวจสอบสิทธิ์บนเครือข่ายจะใช้ CVE-2022-1401 เพื่อดึงเซสชันที่เข้ารหัสของผู้ใช้ที่ได้รับการพิสูจน์ตัวตนแล้ว” Botezatu กล่าว

เซสชันที่เข้ารหัสนี้จะถูกถอดรหัสด้วยคีย์ฮาร์ดโค้ดในอุปกรณ์ ต้องขอบคุณ CVE-2022-1400 ณ จุดนี้ ผู้โจมตีจะกลายเป็นผู้ใช้ที่ได้รับการรับรองความถูกต้อง

“เมื่อเข้าสู่ระบบแล้ว พวกเขาสามารถใช้ CVE-2022-1399 เพื่อประนีประนอมกับเครื่องและควบคุมไฟล์และเนื้อหาฐานข้อมูลได้อย่างสมบูรณ์ เรียกใช้มัลแวร์ และอื่นๆ” Botezatu กล่าว "นี่คือวิธีที่พนักงานประจำสามารถควบคุมอุปกรณ์และความลับที่เก็บไว้ในเครื่องได้โดยการผูกเดซี่เชนกับช่องโหว่ที่อธิบายไว้"

เขาเสริมว่าช่องโหว่เหล่านี้สามารถค้นพบได้โดยการเรียกใช้การตรวจสอบความปลอดภัยอย่างละเอียดสำหรับแอปพลิเคชันที่กำลังจะนำไปใช้ทั่วทั้งองค์กร

“น่าเสียดายที่สิ่งนี้ต้องการความสามารถและความเชี่ยวชาญที่สำคัญเพื่อที่จะพร้อมใช้งานในบ้านหรือตามสัญญา” เขากล่าว “ภารกิจส่วนหนึ่งของเราในการทำให้ลูกค้าปลอดภัยคือการระบุช่องโหว่ในแอปพลิเคชันและอุปกรณ์ IoT จากนั้นจึงเปิดเผยการค้นพบของเราต่อผู้ขายที่ได้รับผลกระทบอย่างรับผิดชอบ เพื่อให้สามารถดำเนินการแก้ไขได้”

ช่องโหว่เหล่านี้ได้รับการแก้ไขแล้ว Bitdefender ได้รับเวอร์ชัน 18.01.00 ก่อนเผยแพร่สู่สาธารณะ และสามารถตรวจสอบว่าช่องโหว่ที่รายงานทั้งสี่รายการ ได้แก่ CVE-2022-1399, CVE-2022-1400, CVE 2022-1401 และ CVE-2022-1410 ไม่มีอยู่แล้ว องค์กรควรปรับใช้การแก้ไขทันที เขากล่าว

เมื่อต้นเดือนนี้ ข้อผิดพลาด RCE ที่สำคัญคือ ค้นพบ ในเราเตอร์ DrayTek ซึ่งเปิดโปง SMB ให้ถูกโจมตีโดยคลิกศูนย์ — หากถูกโจมตี แฮกเกอร์สามารถควบคุมอุปกรณ์ได้อย่างสมบูรณ์พร้อมกับการเข้าถึงเครือข่ายที่กว้างขึ้น