Ερευνητές δημοσίευσαν ένα proof-of-concept (PoC) exploit script που δείχνει πώς μπορούν να χρησιμοποιηθούν δύο ευπάθειες για την απομακρυσμένη εκτέλεση κώδικα (RCE) σε Progress Telerik Report Servers.
Ο Telerik Report Server είναι μια λύση διαχείρισης αναφορών, που χρησιμοποιούν οι οργανισμοί για να βελτιστοποιήσουν τη δημιουργία, την κοινή χρήση, την αποθήκευση, τη διανομή και τον προγραμματισμό των αναφορών.
Ο ερευνητής κυβερνοασφάλειας Sina Kheirkha ανέπτυξε το exploit με τη βοήθεια του Soroush Dalili. Τώρα έχει δημοσιευτεί μια λεπτομερής αναφορά, που περιγράφει τη διαδικασία εκμετάλλευσης δύο σφαλμάτων (το ένα επιτρέπει παράκαμψη ελέγχου ταυτότητας και το άλλο είναι ένα ζήτημα deserialization), για την εκτέλεση κώδικα στον στόχο.
Δείτε επίσης: Hackers χρησιμοποιούν νέες ευπάθειες σε WordPress plugins
Δημιουργία δόλιων λογαριασμών διαχειριστή
Η πρώτη ευπάθεια, που επιτρέπει την παράκαμψη ελέγχου ταυτότητας, παρακολουθείται ως CVE-2024-4358 (βαθμολογία CVSS: 9,8) και οι κυβερνοεγκληματίες μπορούν να τη χρησιμοποιήσουν για να δημιουργήσουν λογαριασμούς διαχειριστή χωρίς ελέγχους.
Αφού εντόπισε και εξέτασε την ευπάθεια, ο Kheirkhah την ανέλυσε και ανακάλυψε ότι η μέθοδος ‘Register‘ στο “StartupController” ήταν προσβάσιμη χωρίς έλεγχο ταυτότητας. Έτσι, επέτρεπε τη δημιουργία ενός λογαριασμού διαχειριστή ακόμη και μετά την ολοκλήρωση της αρχικής ρύθμισης.
Η Progress διόρθωσε την ευπάθεια με την ενημέρωση Telerik Report Server 2024 Q2 10.1.24.514 στις 15 Μαΐου.
Η δεύτερη ευπάθεια που χρησιμοποιήθηκε για το chain exploit, είναι ένα ζήτημα deserialization που παρακολουθείται ως CVE-2024-1800 (βαθμολογία CVSS: 8.8). Επιτρέπει σε απομακρυσμένους επιτιθέμενους να εκτελούν αυθαίρετο κώδικα σε ευάλωτους διακομιστές.
Αυτό το ζήτημα ανακαλύφθηκε νωρίτερα και αναφέρθηκε στην Progress από έναν ανώνυμο ερευνητή. Η εταιρεία κυκλοφόρησε μια ενημέρωση ασφαλείας για αυτό στις 7 Μαρτίου 2024, μέσω του Telerik® Report Server 2024 Q1 10.0.24.305.
Ένας εισβολέας μπορεί να στείλει ένα ειδικά διαμορφωμένο XML payload με ένα στοιχείο “ResourceDictionary” στο custom deserializer του Telerik Report Server.
Δείτε επίσης: Slider Revolution: Δύο ευπάθειες βρέθηκαν στο WordPress plugin
Στη συνέχεια, το ειδικό στοιχείο στο payload χρησιμοποιεί το ‘ObjectDataProvider‘ class για να εκτελέσει εντολές στον διακομιστή, όπως την εκκίνηση του «cmd.exe».
Η εκμετάλλευση την εν λόγω ευπάθειας είναι γενικά περίπλοκη. Αλλά αυτή τη στιγμή έχει κυκλοφορήσει δημόσια ένα exploit Python script, το οποίο μπορούν να χρησιμοποιήσουν οι κυβερνοεγκληματίες για να πραγματοποιήσουν αποτελεσματικές επιθέσεις.
Αυτό σημαίνει ότι οι οργανισμοί πρέπει να εφαρμόσουν τις διαθέσιμες ενημερώσεις το συντομότερο δυνατό (αναβάθμιση στην έκδοση 10.1.24.514 ή νεότερη), προκειμένου να διορθώσουν τις δύο ευπάθειες και να μείνουν ασφαλείς.
Οι οργανισμοί θα πρέπει να εκλάβουν αυτό το exploit, που στοχεύει Progress Telerik Report Servers, ως μια κλήση αφύπνισης για να δίνουν πάντα προτεραιότητα στην άμεση εφαρμογή ενημερώσεων ασφαλείας. Η αναμονή για την αντιμετώπιση των τρωτών σημείων μπορεί να αφήσει συστήματα και ευαίσθητα δεδομένα σε κίνδυνο.
Επιπλέον, οι οργανισμοί θα πρέπει να διενεργούν τακτικά ελέγχους ασφαλείας και penetration tests για να αποκαλύψουν πιθανές ευπάθειες προτού μπορέσουν να τις εκμεταλλευτούν οι εισβολείς. Αυτή η προληπτική προσέγγιση μπορεί να βοηθήσει στην πρόληψη τέτοιων επιθέσεων από την πρώτη στιγμή.
Δείτε επίσης: TP-Link: Κρίσιμη ευπάθεια στο gaming router Archer C5400X
Τέλος, είναι σημαντικό για τους οργανισμούς να υιοθετούν ένα ισχυρό security culture και να ενθαρρύνουν τους υπαλλήλους να αναφέρουν οποιαδήποτε ύποπτη δραστηριότητα ή ευπάθεια που μπορεί να συναντήσουν. Με το συνεχώς εξελισσόμενο τοπίο των απειλών στον κυβερνοχώρο, είναι απαραίτητο για τους οργανισμούς να παραμείνουν σε εγρήγορση και να προστατεύουν τα συστήματα και τα δεδομένα τους. Παραμένοντας ενημερωμένοι και εφαρμόζοντας βέλτιστες πρακτικές, οι οργανισμοί μπορούν να προστατευτούν καλύτερα από πιθανές επιθέσεις όπως αυτές σε Progress Telerik Report Servers.
Πηγή: www.bleepingcomputer.com
