Phát hiện lỗ hổng bảo mật trong sản phẩm công nghiệp truy cập từ xa của Claroty

[DDos]

Sản phẩm Secure Remote Access (SRA) của công ty an ninh mạng công nghiệp Claroty bị ảnh hưởng bởi một lỗ hổng cho phép tin tặc nhắm mục tiêu vào các tổ chức công nghiệp.

Bản vá được phát hành trong tháng 4 và nguy cơ bị khai thác trên thực tế thấp, nhưng điều cần được chú ý ở đây là lỗ hổng tồn tại trong sản phẩm của công ty an ninh mạng công nghiệp.

Lỗ hổng được phát hiện bởi đơn vị nghiên cứu Alpha Strike Labs của Limes Security có trụ sở tại Áo. Lỗi này được nhắc tới trong lời khuyên bảo mật của công ty an ninh mạng Limes Security cũng như Cơ quan An ninh mạng và Cơ sở hạ tầng Hoa Kỳ (CISA), cho thấy mức độ nguy hiểm là không hề nhỏ.

Các nhà nghiên cứu của Alpha Strike cho biết, kẻ tấn công có quyền truy cập vào hệ thống được nhắm mục tiêu có thể bỏ qua các kiểm soát truy cập đối với tệp cấu hình trung tâm của phần mềm SRA.

CISA viết trong cảnh báo bảo mật: “Việc khai thác thành công lỗ hổng tạo điều kiện cho kẻ tấn công có quyền truy cập giao diện dòng lệnh nội bộ để lấy khóa bí mật, sau đó cho phép tạo chữ ký phiên làm việc hợp lệ cho giao diện người dùng web (UI). Với quyền truy cập vào giao diện người dùng web, kẻ tấn công có thể truy cập vào các tài sản được quản lý bởi việc cài đặt SRA và có thể xâm phạm quá trình cài đặt".

Các nhà nghiên cứu của Alpha Strike Labs nói rằng độ khó của việc khai thác lỗ hổng này phụ thuộc vào cấu hình của máy chủ lưu trữ nơi SRA được cài đặt. “Trong tình huống chúng tôi nghiên cứu, bất kỳ người dùng nội bộ không có đặc quyền nào trong máy chủ SRA đều có thể truy cập vào thông tin nhạy cảm”.

Về những gì kẻ tấn công có thể làm trong thực tế, các nhà nghiên cứu giải thích, “Kẻ tấn công khai thác thành công lỗ hổng này có thể trở thành quản trị viên trong SRA, sau đó xâm phạm tài sản được quản lý thông qua SRA. Trên thực tế, điều này có nghĩa là kẻ tấn công có thể tạo các phiên hợp lệ và truy cập bất hợp pháp vào bất kỳ thành phần hoặc mạng công nghiệp nào được bảo vệ thông qua SRA, có thể là môi trường sản xuất hoặc trang web của cơ sở hạ tầng quan trọng”.

Lỗ hổng CVE-2021-32958 có điểm CVSS 5.5, đã được báo cáo cho Claroty vào cuối tháng 1 và bản vá đã được phát hành trong tháng 4 với việc công bố phiên bản 3.2.1.

Claroty nói: “Claroty đã hợp tác với các nhà nghiên cứu bảo mật để khắc phục lỗ hổng trong SRA 3.2 và các phiên bản trước đó. Lỗi có rủi ro rất thấp trong thực tế vì lỗ hổng bảo mật không thể khai thác từ xa và quyền truy cập cấp hệ điều hành cục bộ. Để vá lỗ hổng này, khách hàng nên nâng cấp lên SRA 3.2.1 khi được phép và các biện pháp giảm thiểu được liệt kê trong tư vấn bảo mật CVE-2021-32958 cho đến khi họ có thể nâng cấp”.

Theo securityweek​