Các lỗ hổng nghiêm trọng trong hàng triệu thiết bị chuyển mạch Aruba và Avaya

[tathoa0607]

5 lỗ hổng thực thi mã từ xa (RCE) trong hàng triệu thiết bị Aruba và Avaya có thể bị khai thác để kiểm soát hoàn toàn các thiết bị chuyển mạch (network switches), thường được sử dụng ở sân bay, bệnh viện và khách sạn.

​

Các lỗ hổng, được gọi chung là TLStorm 2.0, xuất phát từ việc mất an toàn trong NanoSSL, một thư viện TLS do Mocana phát triển và được sử dụng trong một số thiết bị mạng. Theo nghiên cứu của Armis, một số lỗ hổng có thể tự kích hoạt mà không cần xác thực hay tương tác của người dùng.

Các lỗ hổng này ảnh hưởng đến khoảng 10 triệu thiết bị Avaya của HPE và Aruba của Extreme Networks và có điểm CVSS từ 9.0 - 9.8/10. Nếu khai thác thành công, tin tặc có thể tác động trực tiếp đến thiết bị, di chuyển từ switch này sang switch khác và có khả năng lấy cắp dữ liệu công ty.

Trong đó, 3 lỗ hổng nghiêm trọng có trong hàng triệu sản phẩm của Schneider Electric APC Smart-UPS. Ngoài các hoạt động như như lấy cắp dữ liệu nhạy cảm từ các thiết bị được kết nối hoặc triển khai phần mềm độc hại trên mạng, việc khai thác TLStorm trên các máy APC UPS có thể dẫn đến sập nguồn. Các lỗ hổng được Armis công khai vào tháng trước.

Khai thác các cổng cố định​

​

Cổng cố định (Captive portals) là cổng cho phép kết nối tới các trang web bạn thường thấy trong lần đầu tiên cố gắng kết nối với mạng Wi-Fi hoặc mạng có dây tại sân bay, khách sạn, bệnh viện, trung tâm thương mại… Chúng có thể yêu cầu người dùng xác thực, thanh toán hoặc một số thỏa thuận người dùng trước khi cung cấp quyền truy cập vào Internet hay các dịch vụ khác.

Theo Barak Hadad, trưởng nhóm nghiên cứu của Armis, khi thiết bị mạng sử dụng NanoSSL bị tấn công, tin tặc có thể khai thác lỗ hổng TLStorm 2.0 để thực thi RCE mà không cần xác thực. Và một khi đã kiểm soát phần cứng thì có thể vô hiệu hóa captive portal cũng như tìm kiếm thêm các hệ thống mạng để tấn công.

Lỗ hổng CVE-2022-23677 trong sản phẩm Aruba, được đánh giá 9.0/10, là do một điểm yếu trong NanoSSL có thể bị khai thác thông qua captive portal. Lỗ hổng Aruba thứ hai, CVE-2022-23676, được đánh giá 9.1/10 là một lỗi bộ nhớ (memory-corruption) RADIUS client, có thể làm tràn bộ nhớ heap để thực thi RCE.

Các thiết bị Aruba bị ảnh hưởng bởi TLStorm 2.0 bao gồm:

• Aruba 5400R Series
• Aruba 3810 Series
• Aruba 2920 Series
• Aruba 2930F Series
• Aruba 2930M Series
• Aruba 2530 Series
• Aruba 2540 Series

Các tổ chức triển khai các sản phẩm Aruba nên cập nhật bản vá cho các thiết bị bị ảnh hưởng ngay lập tức.

Lỗ hổng pre-auth trong Avaya​

Các thiết bị chuyển mạch Avaya có thể bị khai thác thông qua cổng quản lý web (web management portal) và không yêu cầu bất kỳ loại xác thực nào.

Hadad nói: “Đây là những lỗ hổng zero-click có thể bị khai thác qua mạng mà không cần tới sự tương tác của người dùng".
CVE-2022-29860, điểm CVSS là 9,8/10, là lỗi tràn bộ nhớ heap có thể dẫn đến RCE, xảy ra do quá trình xử lý các POST requests trên web server trả về giá trị NanoSSL không xác thực.

CVE-2022-29861 có thể dẫn đến tràn ngăn xếp (stack overflow) trong quá trình phân tích HTTP header, bị lợi dụng để khai thác RCE trên các thiết bị switch, điểm CVSS 9.8.

Và cuối cùng, lỗ hổng Avaya thứ ba xảy ra trong việc xử lý các yêu cầu HTTP POST. Thư viện NanoSSL không thực hiện kiểm tra lỗi và điều này dẫn đến tràn bộ nhớ heap. Lỗi này không có CVE vì nó xuất hiện trong dòng sản phẩm Avaya đã ngừng sản xuất, vì vậy Avaya sẽ không phát hành bản vá. Theo Armis, những thiết bị này vẫn đang được sử dụng.

Các thiết bị Avaya bị ảnh hưởng bởi TLStorm 2.0 bao gồm:

• ERS3500 Series
• ERS3600 Series
• ERS4900 Series
• ERS5900 Series

Để cập nhật bản vá mới nhất cho các thiết bị Avaya bị ảnh hưởng, các bạn có thể truy cập vào trang tư vấn của Extreme để biết thêm thông tin chi tiết.

Theo: Theregister​