מכניקה נט פורטל מקצועי לזיווד.
ארמיס מצאה 5 חולשות קריטיות במתגי רשת
המסכנות ארגונים ברחבי העולם
החולשות, שאותרו במתגי רשת המצויים בשימוש נרחב, עלולות לאפשר לתוקפים לעקוף מנגנוני אבטחה כמו סגמנטציית רשת ולחדור למערכות קריטיות
פרסום
ארמיס, החברה המובילה בזיהוי ואבטחת נכסי רשת ארגוניים, הודיעה על חשיפת 5 חולשות קריטיות המכונות TLStorm 2.0 הנובעות משימוש לא תקין בספריית תקשורת TLS במודלים רבים של מתגי רשת. החולשות נובעות מפגם עיצובי דומה לזה שזוהה בחולשות TLStorm (שנחשפו מוקדם יותר השנה ע"י ארמיס), והוא מרחיב את השפעת TLStorm למיליונים נוספים של תשתיות רשת ארגוניות.
במרץ 2022, ארמיס חשפה לראשונה את TLStorm – 3 חולשות קריטיות במכשירי אל פסק מסוג APC Smart-UPS. החולשות איפשרו לתוקף להשתלט מרחוק על מכשירים דרך האינטרנט ללא צורך באינטראקציה עם משתמש, ובנוסף מאפשרות לתוקף ליצור לעומס יתר על ה-UPS שיכול להוביל להרס של הUPS. הסיבה לחולשות אלו היתה שימוש בלתי ראוי ב-NanoSSL, ספריית TLS פופולארית של חברת Mocana. באמצעות בסיס הידע של ארמיס – דאטה בייס שכולל מעל 2 מיליארד מכשירים ויותר מ-6 מיליון פרופילים של מכשירים – החוקרים הצליחו לזהות עשרות מכשירים המשתמשים בספריית Mocana NanoSSL. הממצאים כוללים לא רק את מכשירי ה-APC Smart-UPS אלא גם שני ספקים פופולאריים של מתגי רשתות אשר הושפעו מחולשות דומות. בעוד שמכשירי UPS ומתגי רשת נבדלים בתפקודם וברמות האמון מתוך הרשת, אותן בעיות בהטמעת ה- TLSעלולות לגרום לתוצאות הרסניות.
המחקר TLStorm 2.0, חושף חולשות שעלולות לאפשר לתוקף להשתלט לחלוטין על מתגים המצויים בשימוש בשדות תעופה, בתי חולים, מלונות וארגונים נוספים ברחבי העולם. הספקים אשר מושפעים הם ארובה Aruba (שנרכשה ע"י HPE) ו-אוואיה נטוורקינג Avaya Networking (שנרכשה ע"י ExtremeNetworks). נמצא כי לשני הספקים יש מתגים החשופים להרצת קוד מרחוק (RCE), חולשות שניתן לנצל דרך הרשת ומובילות ל:
- שבירת הסגמנטציה של רשת, ובכך תוקף יכול לנוע למכשירים נוספים או רשתות קריטיות על ידי שינוי הקונפיגורציה במתג
- דליפת דאטה מתוך טראפיק ברשת הארגונית או מידע רגיש מרשת פנימית אל האינטרנט
- בריחה מפורטל שבוי (captive portal)
הממצאים של המחקר משמעותיים מאחר שהם מאותתים שתשתית הרשת עצמה נמצאת בסיכון וניתנת לניצול על ידי תוקפים, והמשמעות היא שהסגמנטציה ברשת לא יכולה לתפקד יותר כאמצעי אבטחה מספק.
"המחקר בארמיס מונע על ידי מטרה אחת פשוטה: לזהות ניצנים של איומי אבטחה כדי לספק ללקוחותינו הגנה בזמן אמת ובאופן מתמשך", אומר ברק חדד, מנהל המחקר בארמיס. "סט החולשות TLStorm הוא דוגמא מצוינת לאיומים לנכסים שבעבר היו בלתי נראים בקרב רוב פתרונות האבטחה. זו הוכחה לכך שסגמנטציית רשת כבר איננה מספקת להפחתת איומים, ושניטור פרואקטיבי של הרשת הוא חיוני. חוקרי ארמיס ימשיכו לחקור מכשירים מסוגים שונים, כדי להבטיח שבסיס המידע שלנו המכיל יותר מ-2 מיליארד מכשירים ואותו אנו משתפים עם לקוחותינו ושותפינו, יכיל את האיומים החדשים ביותר ופתרונותיהם."
פורטל שבוי (Captive portal)
פורטל שבוי הוא עמוד אינטרנט שמוצג למתחברים חדשים לרשת ווי-פי או רשת קווית, לפני שהם מקבלים אישור גישה נרחב יותר למשאבי הרשת. פורטלים שבויים נמצאים בדרך כלל בשימוש כדי להציג עמוד login שעשוי לדרוש אימות, תשלום או נתונים אחרים אשר גם המארח וגם המשתמש מסכימים להיענות להם. פורטלים שבויים נמצאים בשימוש במגוון רחב של שירותי פס רחב סלולריים ורגילים – כולל כבלים, ווי-פי שמסופק מסחרית ו-hotspots ביתיות. פורטל שבוי יכול גם להיות בשימוש לאספקת גישה לארגון או לרשתות מגורים קוויות, כמו מתחמי מגורים, חדרי מלון ומרכזים עסקיים.
באמצעות ניצול חולשות TLStorm 2.0, תוקף יכול להשתמש בפורטל השבוי להרצת קוד מרחוק על המתג, ללא צורך באימות. לאחר שהתוקף השתלט על המתג, הוא יכול לנטרל את הפורטל השבוי לחלוטין ולנוע ברשת הארגונית.
פרטים על החולשות והמכשירים המושפעים
ארובה
- CVE-2022-23677 (0 CVSS score) – שימוש בלתי ראוי ב- NanoSSLבמספר ממשקים (RCE)
ספריית ה-NanoSSL המצוינת מעלה נמצאת בשימוש במתגי ארובה למספר מטרות. השימוש הלא תקין בספרייה עלול להוביל להרצת קוד מרחוק בשני שימושים עיקריים:
- פורטל שבוי – משתמש בפורטל שבוי יכול להשתלט על המתג לפני תהליך אימות.
- שרת Radius – חולשה בניהול חיבור ה-Radius יכולה לאפשר לתוקף, שמסוגל ליירט את חיבור ה-Radius להריץ קוד מרחוק על המתג ללא אינטראקציית משתמש.
- CVE-2022-23676 (1 CVSS score) – חולשת זיכרון בשרת RADIUS
- RADIUS הוא פרוטוקול שנועד לזיהוי ואימות משתמשים ומאפשר אימות מרכזי למשתמשים שמנסים לגשת לאחד משירותי הרשת. שרת ה-RADIUS מגיב לבקשות גישה משירותי רשת שונים שמתנהגים כלקוחות RADIUS. שרת ה-RADIUS בודק מידע בבקשת הגישה, ומגיב תוך אישור ניסיון הגישה, דחייתו או בקשת מידע נוסף.
- ישנן שתי חולשות זיכרון אצל לקוח ה-RADIUS שבשימוש במתג; הן יכולות להוביל לגלישות חוצץ (heap overflows) בדאטה אשר עלול לאפשר לשרת RADIUS זדוני, או לתוקף עם גישה לסוד המשותף להריץ קוד מרחוק על גבי המתג.
מכשירי ארובה שמושפעים מ-TLStorm 2.0:
- Aruba 5400R Series
- Aruba 3810 Series
- Aruba 2920 Series
- Aruba 2930F Series
- Aruba 2930M Series
- Aruba 2530 Series
- Aruba 2540 Series
חולשות בניהול ממשק אוואיה לפני שלב האימות
מרחב התקיפה של שלוש החולשות במתגי אוואיה הוא פורטל ניהול הרשת, ואף אחת מהחולשות לא דורשת כל סוג של אימות, מה שהופך אותן לחולשת מסוג zero-click.
- CVE-2022-29860 (CVSS 9.8) – גלישת חוצץ של reassembly TLS
זוהי חולשה דומה ל CVE-2022-22805 שארמיס איתרה במכשירי APC Smart-UPS. תהליך ניהול בקשות POST בשרת הרשת לא מאמת כראוי את ערכי השגיאה של NanoSSL, מה שגורם לגלישת חוצץ שעלולה להוביל להרצת קוד מרחוק.
- CVE-2022-29861 (CVSS 9.8) – גלישת מחסנית בניתוח Header HTTP
בדיקת גבולות בלתי הולמת בניהול טופס דאטה מרובה חלקים, בשילוב עם מחרוזת שאינה null-terminated, מובילה לגלישת מחסנית אשר עלולה להוביל להרצת קוד מרחוק.
- גלישת חוצץ בניהול בקשות HTTP POST
חולשה בניהול בקשות HTTP POST, בשל העדר בדיקת שגיאות בספריית Mocana NanoSSL, מובילה לגלישת חוצץ שעלולה להוביל להרצת קוד מרחוק. לחולשה זו אין CVE משום שהיא נמצאה בקו מוצר שלא מיוצר יותר בחברת אוואיה. המשמעות היא שלא ניתן לתקן את החולשה, אף שהדאטה של ארמיס מראה כי עדיין ניתן למצוא מכשירים כאלה בשוק.
מכשירי אוואיה המושפעים מ-TLStorm:
- ERS3500 Series
- ERS3600 Series
- ERS4900 Series
- ERS5900 Series
עדכונים ופתרונות
פרסום
ארובה ו-אוואיה שיתפו פעולה עם ארמיס בנושא זה, לקוחות יודעו וקיבלו patches כדי להתמודד עם רוב החולשות. למיטב ידיעתנו, אין אינדיקציה לכך שחולשות TLStorm 2.0 נוצלו.
לארגונים המפעילים מכשירי ארובה מהסוגים המושפעים מהחולשות מומלץ להתקין מיידית את העדכונים שבפורטל התמיכה של ארובה, כאן.
לארגונים המפעילים מכשירי אוואיה המושפעים מהחולשות מומלץ לבדוק את המלצות האבטחה בפורטל התמיכה של אוואיה, כאן.
לקוחות ארמיס יכולים לזהות באופן מיידי מכשירים בעלי חולשות בסביבותיהם ולהתחיל בתיקון הבעיה. לשיחה עם מומחה מארמיס ולבחינת הפלטפורמה זוכת הפרסים שמאפשרת נראות ואבטחה של נכסים, הקליקו כאן.
הצגות המחקר
מחקר TLStorm יוצג על ידי מומחי ארמיס בכנס:
Black Hat Asia 2022 (מאי 10-13, 2022) – Like Lightning From the Cloud: Finding RCEs in an Embedded TLS Library and Toasting a Popular Cloud-connected UPS
אודות ארמיס
ארמיס היא הפלטפורמה המובילה לזיהוי ואבטחת נכסים, שנועדה לענות על סביבת האיומים החדשה שנוצרת עם החיבור בין מכשירים. חברות פורצ'ן 1000 סומכות על ההגנה המיידית שאנו נותנים באופן מתמשך לרשת הארגונית שלהם, תוך אפשרות לראות את כל הנכסים המנוהלים, הלא-מנוהלים, בסביבות כמו IT, ענן, IoT, מכשירים רפואיים (IoMT), טכנולוגיה תפעולית (OT), 5G ומערכות שליטה תעשייתיות (ICS). ארמיס מספקת אבטחת מידע פסיבית שאין משתווה לה, ניהול מלאי, ניהול סיכונים ואכיפה אוטומטית. ארמיס נמצאת בבעלות פרטית ומטה החברה בפאלו אלטו, קליפורניה.
