Andmete riskihaldurit mõjutavad IBM Zero-Day RCE turvalisuse haavatavused jäävad ka pärast avalikku väljaandmist parandamata?

IBM, Oak Ridge'i riiklik labor

Väidetavalt paljastas kolmanda osapoole turvauurija IBMi ühe riskiturbe tööriista IBM Data Risk Manager (IDRM) mitu turvaviga. Muide, Zero-Day turvaauke pole veel ametlikult tunnustatud, rääkimata IBMi edukast lappimisest.

Teadlane, kes avastas vähemalt neli turvakeskkonda, millel on potentsiaalsed kaugkoodide täitmise (RCE) võimalused, on looduses saadaval. Teadlane väidab, et ta oli proovinud läheneda IBM-ile ja jagada IBM-i virtuaalse turvalisuse andmeriski halduri turbeprobleemide üksikasju, kuid IBM keeldus neid teadvustamast ja järelikult on ilmselt jätnud need parandamata.

IBM keeldub aktsepteerimast nullipäevase turvaaukude aruannet?

IBM Data Risk Manager on ettevõtte toode, mis pakub andmete avastamist ja klassifitseerimist. Platvorm sisaldab üksikasjalikku analüüsi äririski kohta, mis põhineb organisatsioonisisestel infovaradel. Pole vaja lisada, et platvormil on juurdepääs kriitilisele ja tundlikule teabele sama äri kasutavate ettevõtete kohta. Kui see on rikutud, saab kogu platvormi muuta orjaks, mis pakub häkkeritele lihtsat juurdepääsu veelgi enamale tarkvarale ja andmebaasidele.

Turvauurija avalikustas neli nullpäeva # haavatavused mis mõjutavad IBMi ühte riskiandjat IBM Data Risk Manager (IDRM) #ettevõtteturvalisus tööriistad. #küberturvalisus https://t.co/jvdcufgQqi https://t.co/2cKjfrCOoz

- David De Sousa (@DavidDeSDrumond) 21. aprill 2020

Pedro Ribeiro Suurbritannia agiilsest infoturbest uuris IBM Data Risk Manageri versiooni 2.0.3 ja teadaolevalt avastas kokku neli haavatavust. Pärast puuduste kinnitamist üritas Ribeiro neid IBM-ile Carnegie Melloni ülikooli CERT / CC kaudu avalikustada. Muide, IBM haldab HackerOne platvormi, mis on sisuliselt ametlik kanal sellistest turvanõrkustest teatamiseks. Ribeiro ei ole siiski HackerOne'i kasutaja ja ilmselt ei tahtnud liituda, nii et ta proovis CERT / CC-i läbida. Kummalisel kombel keeldus IBM vigu tunnistamast järgmise sõnumiga:

' Oleme hinnanud seda aruannet ja suletud, kuna see ei kuulu meie haavatavuse avalikustamise programmi reguleerimisalasse, kuna see toode on mõeldud ainult meie klientide makstava „täiustatud” toe jaoks . Seda kirjeldatakse meie poliitikas https://hackerone.com/ibm . Selles programmis osalemiseks ei tohi te olla sõlminud lepingut IBM-i, IBM-i tütarettevõtte või IBM-i kliendi turvatestide teostamiseks kuue kuu jooksul enne aruande esitamist. '

Pärast seda, kui tasuta haavatavuse aruanne lükati tagasi, lükati teadlane avaldas GitHubis nelja teema kohta üksikasju . Teadlane kinnitab, et aruande avaldamise põhjus oli IBM IDRM-i kasutavate ettevõtete sundimine turvavigadest teadlik ja lubada neil rünnakute vältimiseks kehtestada leevendused.

Mis on IBM IDRM-i 0-päevased turvaaugud?

Neljast neljast saab turvaveadest kolme kasutada koos toote juurõiguste saamiseks. Puuduste hulka kuuluvad autentimise ümbersõit, käsu sisestamise viga ja ebaturvaline vaikeparool.

Autentimise ümbersõit võimaldab ründajal kuritarvitada API-ga seotud probleemi, et Data Risk Manageri seade aktsepteeriks suvalise seansi ID ja kasutajanime ning seejärel saadaks sellele kasutajale uue parooli loomiseks eraldi käsu. Rünnaku edukas ärakasutamine annab sisuliselt juurdepääsu veebihalduse konsoolile. See tähendab, et platvormi autentimis- või autoriseeritud juurdepääsusüsteemidest on täielikult mööda mindud ja ründajal on IDRM-ile täielik administraatorijuurdepääs.

https://twitter.com/sudoWright/status/1252641787216375818

Administraatori juurdepääsu korral saab ründaja suvalise faili üleslaadimiseks kasutada käskude sisestamise haavatavust. Kui kolmas viga on ühendatud kahe esimese haavatavusega, võimaldab see autoriseerimata kaugründajal saavutada IDRM-i virtuaalse seadme juurena kaugkoodide täitmise (RCE), mis viib süsteemi täieliku kompromissini. IBM IDRM-i nelja nullipäevase turvanõrkuse kokkuvõte:

• IDRM-i autentimismehhanismi ümbersõit
• Käsu sisestuspunkt ühes IDRM-i API-st, mis võimaldab rünnakutel rakenduses oma käske käivitada
• Kõvakoodiga kasutajanime ja parooli kombinatsioon a3user / idrm
• IDRM-i API haavatavus, mis võimaldab kaughäkkeritel faile IDRM-i seadmest alla laadida

Kui see pole piisavalt kahjulik, on teadlane lubanud avaldada üksikasjad kahe Metasploit-mooduli kohta, mis mööduvad autentimisest ja kasutavad koodi kaugkäivitamine ja meelevaldne faili allalaadimine puudused.

Oluline on märkida, et hoolimata IBM IDRM-i turvanõrkuste olemasolust on nende tõenäosus sama edukalt ära kasutada on üsna õhukesed . Seda peamiselt seetõttu, et ettevõtted, kes kasutavad oma süsteemides IBM IDRM-i, takistavad tavaliselt juurdepääsu Interneti kaudu. Kui aga IDRM-i seade on võrgus avatud, saab rünnakuid korraldada kaugjuhtimisega. Pealegi võib ründaja, kellel on juurdepääs ettevõtte sisevõrgus asuvale tööjaamale, potentsiaalselt IDRM-seadme üle võtta. Kui see on edukalt rikutud, saab ründaja hõlpsasti teiste süsteemide jaoks mandaate hankida. See annaks ründajale võimaluse liikuda külgsuunas ettevõtte võrgu teistesse süsteemidesse.