Những sai phạm nghiêm trọng được tiết lộ trong Phần mềm quản lý tài sản CNTT Device42

Phần mềm quản lý tài sản CNTT thiết bị42

Các nhà nghiên cứu đã tiết lộ nhiều lỗ hổng bảo mật nghiêm trọng, nền tảng quản lý tài sản Device42, nếu khai thác thành công, có thể cho phép kẻ độc hại chiếm quyền kiểm soát các hệ thống bị ảnh hưởng.

“Bằng cách khai thác những vấn đề này, kẻ tấn công có thể mạo danh người dùng khác, có được quyền truy cập cấp quản trị viên trong ứng dụng (bằng cách làm rò rỉ phiên với LFI) hoặc có được quyền truy cập đầy đủ vào các tệp và cơ sở dữ liệu của thiết bị (thông qua )”, Bitdefender cho biết trong một báo cáo thứ Tư.

Đáng quan tâm hơn, một kẻ thù có bất kỳ cấp độ truy cập nào trong mạng máy chủ có thể xâu chuỗi ba lỗi để vượt qua các biện pháp bảo vệ xác thực và thực hiện mã từ xa với các đặc quyền cao nhất.

Phần mềm quản lý tài sản CNTT thiết bị42

Các vấn đề được đề cập được liệt kê bên dưới –

CVE-2022-1399 – Thực thi mã từ xa trong thành phần tác vụ đã lên lịch
CVE-2022-1400 – Khóa mã hóa được mã hóa cứng IV trong Exago WebReportsApi.dll
CVE 2022-1401 – Xác thực không đầy đủ các đường dẫn được cung cấp trong Exago
CVE-2022-1410 – Thực thi mã từ xa trong bảng điều khiển ApplianceManager

Phần mềm quản lý tài sản CNTT thiết bị42

Điểm yếu quan trọng nhất là CVE-2022-1399, giúp nó có thể thực hiện các lệnh bash thông qua chèn lệnh và với quyền root, cấp cho kẻ tấn công toàn quyền kiểm soát thiết bị bên dưới.

Xem tiếp:   Nga phá vỡ 4 thị trường web đen tối vì thẻ tín dụng bị đánh cắp

Mặc dù không thể tự thực thi mã từ xa, nhưng nó có thể được xâu chuỗi cùng với CVE 2022-1401 và CVE-2022-1400 để trích xuất số nhận dạng phiên hợp lệ của người dùng đã được xác thực bằng cách tận dụng lỗ hổng bao gồm tệp cục bộ được phát hiện trong thành phần báo cáo Exago .

Sau tiết lộ có trách nhiệm của công ty Romania vào ngày 18 tháng 2, các lỗi đã được Device42 giải quyết trong phiên bản 18.01.00 được phát hành vào ngày 7 tháng 7 năm 2022.

.

Related Posts

Check Also

Tin tặc sử dụng ứng dụng OAuth độc hại để chiếm dụng máy chủ email

Hôm thứ Năm, Microsoft đã cảnh báo về một cuộc tấn công đối mặt với …