Theo Bitdefender, một loạt lỗ hổng trên nền tảng quản lý tài sản phổ biến Device42 có thể bị khai thác để cung cấp cho những kẻ tấn công quyền truy cập root đầy đủ vào hệ thống.

Bằng cách khai thác lỗ hổng thực thi mã từ xa (RCE) trong phiên bản dàn dựng của nền tảng, những kẻ tấn công có thể có được quyền truy cập root thành công và giành được quyền kiểm soát hoàn toàn đối với các tài sản được lưu trữ bên trong, Bitdefender các nhà nghiên cứu đã viết trong báo cáo. Lỗ hổng RCE (CVE-2022-1399) có điểm cơ bản là 9.1 / 10 và được đánh giá là “nghiêm trọng”, Bogdan Botezatu, giám đốc nghiên cứu và báo cáo về mối đe dọa tại Bitdefender giải thích.

“Bằng cách khai thác những vấn đề này, kẻ tấn công có thể mạo danh người dùng khác, có được quyền truy cập cấp quản trị viên trong ứng dụng (bằng cách làm rò rỉ phiên với LFI) hoặc có được quyền truy cập đầy đủ vào các tệp và cơ sở dữ liệu của công cụ (thông qua thực thi mã từ xa),” báo cáo lưu ý.

Các lỗ hổng RCE cho phép những kẻ tấn công thao túng nền tảng để thực thi mã trái phép với tư cách là người chủ - cấp độ truy cập mạnh nhất trên thiết bị. Mã như vậy có thể làm tổn hại đến ứng dụng cũng như môi trường ảo mà ứng dụng đang chạy.

Để truy cập lỗ hổng thực thi mã từ xa, kẻ tấn công không có quyền trên nền tảng (chẳng hạn như nhân viên thông thường bên ngoài nhóm CNTT và bàn dịch vụ) trước tiên cần bỏ qua xác thực và giành quyền truy cập vào nền tảng.

Chaining Flaws trong các cuộc tấn công

Điều này có thể thực hiện được thông qua một lỗ hổng khác được mô tả trong bài báo, CVE-2022-1401, cho phép bất kỳ ai trên mạng đọc nội dung của một số tệp nhạy cảm trong thiết bị Device42.

Các khóa phiên giữ tệp được mã hóa, nhưng một lỗ hổng khác có trong công cụ (CVE-2022-1400) giúp kẻ tấn công truy xuất khóa giải mã được mã hóa cứng trong ứng dụng.

Botezatu nói: “Quy trình daisy-chain sẽ giống như thế này: một kẻ tấn công không có đặc quyền, chưa được xác thực trên mạng sẽ sử dụng CVE-2022-1401 để tìm nạp phiên được mã hóa của một người dùng đã được xác thực.

Phiên mã hóa này sẽ được giải mã bằng khóa được mã hóa cứng trong công cụ, nhờ CVE-2022-1400. Tại thời điểm này, kẻ tấn công trở thành người dùng được xác thực.

Botezatu nói: “Sau khi đăng nhập, họ có thể sử dụng CVE-2022-1399 để xâm nhập hoàn toàn vào máy và giành quyền kiểm soát hoàn toàn các tệp và nội dung cơ sở dữ liệu, thực thi phần mềm độc hại, v.v. “Đây là cách, bằng cách xâu chuỗi các lỗ hổng được mô tả, một nhân viên bình thường có thể kiểm soát toàn bộ thiết bị và những bí mật được lưu trữ bên trong nó.”

Ông cho biết thêm các lỗ hổng này có thể được phát hiện bằng cách thực hiện kiểm tra bảo mật kỹ lưỡng cho các ứng dụng sắp được triển khai trong một tổ chức.

“Thật không may, điều này đòi hỏi tài năng và chuyên môn đáng kể phải có sẵn trong nhà hoặc theo hợp đồng,” anh nói. “Một phần trong sứ mệnh của chúng tôi để giữ an toàn cho khách hàng là xác định các lỗ hổng trong các ứng dụng và thiết bị IoT, sau đó chịu trách nhiệm tiết lộ những phát hiện của chúng tôi cho các nhà cung cấp bị ảnh hưởng để họ có thể sửa chữa.”

Các lỗ hổng này đã được giải quyết. Bitdefender đã nhận được phiên bản 18.01.00 trước khi phát hành công khai và có thể xác nhận rằng bốn lỗ hổng được báo cáo - CVE-2022-1399, CVE-2022-1400, CVE 2022-1401 và CVE-2022-1410 - không còn tồn tại. Các tổ chức nên triển khai ngay các bản sửa lỗi, ông nói.

Đầu tháng này, một lỗi RCE nghiêm trọng là phát hiện trong các bộ định tuyến DrayTek, đã khiến các SMB phải chịu các cuộc tấn công bằng không - nếu bị khai thác, nó có thể cho phép tin tặc kiểm soát hoàn toàn thiết bị, cùng với quyền truy cập vào mạng rộng hơn.