Các nhà nghiên cứu an ninh mạng đã tiết lộ nhiều lỗ hổng bảo mật nghiêm trọng, nền tảng quản lý tài sản Device42, nếu khai thác thành công, có thể cho phép kẻ độc hại chiếm quyền kiểm soát các hệ thống bị ảnh hưởng.
“Bằng cách khai thác những vấn đề này, kẻ tấn công có thể mạo danh người dùng khác, có được quyền truy cập cấp quản trị viên trong ứng dụng (bằng cách làm rò rỉ phiên với LFI) hoặc có được quyền truy cập đầy đủ vào các tệp và cơ sở dữ liệu của thiết bị (thông qua thực thi mã từ xa)”, Bitdefender cho biết trong một báo cáo thứ Tư.
Đáng quan tâm hơn, một kẻ thù có bất kỳ cấp độ truy cập nào trong mạng máy chủ có thể xâu chuỗi ba lỗi để vượt qua các biện pháp bảo vệ xác thực và thực hiện mã từ xa với các đặc quyền cao nhất.
Các vấn đề được đề cập được liệt kê bên dưới –
CVE-2022-1399 – Thực thi mã từ xa trong thành phần tác vụ đã lên lịch
CVE-2022-1400 – Khóa mã hóa được mã hóa cứng IV trong Exago WebReportsApi.dll
CVE 2022-1401 – Xác thực không đầy đủ các đường dẫn được cung cấp trong Exago
CVE-2022-1410 – Thực thi mã từ xa trong bảng điều khiển ApplianceManager
Điểm yếu quan trọng nhất là CVE-2022-1399, giúp nó có thể thực hiện các lệnh bash thông qua chèn lệnh và với quyền root, cấp cho kẻ tấn công toàn quyền kiểm soát thiết bị bên dưới.
Mặc dù không thể tự thực thi mã từ xa, nhưng nó có thể được xâu chuỗi cùng với CVE 2022-1401 và CVE-2022-1400 để trích xuất số nhận dạng phiên hợp lệ của người dùng đã được xác thực bằng cách tận dụng lỗ hổng bao gồm tệp cục bộ được phát hiện trong thành phần báo cáo Exago .
Sau tiết lộ có trách nhiệm của công ty an ninh mạng Romania vào ngày 18 tháng 2, các lỗi đã được Device42 giải quyết trong phiên bản 18.01.00 được phát hành vào ngày 7 tháng 7 năm 2022.
.
