Cadena de exploits de ejecución remota de código disponible para VMware vRealize Log Insight
La semana pasada, VMware lanzó parches para cuatro vulnerabilidades en su producto vRealize Log Insight que, si se combinan, podrían permitir que los atacantes se apoderen de la plataforma de recopilación y análisis de registros. Los investigadores de seguridad publicaron esta semana una cadena de explotación de prueba de concepto, junto con explicaciones detalladas para cada vulnerabilidad, lo que significa que pronto podrían seguir ataques en la naturaleza.
«El acceso al host de Log Insight presenta algunas oportunidades interesantes para un atacante, según el tipo de aplicaciones que se integren en él», dijeron los investigadores de la empresa de pruebas de penetración Horizon3.ai. su análisis las deficiencias. “A menudo, los registros ingeridos pueden contener datos confidenciales de otros servicios y permitir que un ataque recopile tokens de sesión, claves API y PII. Estas claves y sesiones pueden permitir que el atacante cambie a otros sistemas y comprometa aún más el medio ambiente”.
Los puntos débiles juntos pueden desencadenar un poderoso ataque
Este es un caso interesante que demuestra una realidad común de la seguridad del software moderno donde una vulnerabilidad por sí sola puede no resultar en un compromiso significativo, pero la combinación de varias puede desencadenar un poderoso ataque. VMware describe la primera vulnerabilidad, rastreada como CVE-2022-31704, en su consejo como un control de acceso roto sin proporcionar detalles adicionales sobre dónde podría estar ubicado. Sin embargo, el script de solución manual que la empresa lanzó junto con las actualizaciones del producto ofreció algunas pistas.
El script simplemente agregó una regla de firewall que bloqueó el acceso a los puertos TCP 16520 a 16580. Según la investigación de Horizon3 y las notas de la documentación de vRealize Log Insight, estos puertos se utilizan para comunicarse con el marco Apache Thrift RPC (llamada a procedimiento remoto). RPC es un protocolo de comunicación entre procesos que permite que un proceso instruya a otro proceso para realizar un procedimiento específico. «Esta información nos dice que la vulnerabilidad es probable en un servidor RPC», dijeron los investigadores. su atribución. «A continuación, iniciamos sesión en el sistema en ejecución y encontramos que el puerto TCP 16520 fue creado por una aplicación Java».
Los investigadores lograron rastrear el componente responsable de iniciar un servidor Thrift RPC que expone múltiples llamadas a procedimientos remotos. Luego crearon un cliente Thrift RPC simple para realizar una de estas llamadas y descubrieron que las llamadas se realizaban una y otra vez sin autenticación, por lo tanto, el control de acceso no funcionaba. Si bien esta vulnerabilidad por sí sola brinda acceso a RPC potencialmente poderosos, no es suficiente para ejecutar código malicioso.
La segunda vulnerabilidad es un problema de cruce de directorios
Ingrese la segunda vulnerabilidad, CVE-2022-31706, que se describe como un problema de cruce de directorios. El cruce de directorios es una condición que permite que un atacante o un proceso malicioso navegue a una ruta del sistema de archivos para la que no está destinado.
Al observar los RPC proporcionados por Thrift RPC, los investigadores encontraron uno llamado remotePakDownloadCommand, que descarga un archivo con una extensión .pak (probablemente paquete) y lo coloca en el directorio /tmp/. Luego se puede usar otro RPC llamado pakUpgradeCommand para invocar un script de Python que desempaqueta este archivo. Estos dos comandos se utilizan para realizar actualizaciones del sistema, por lo que los investigadores se dieron cuenta de que el error de recorrido del directorio probablemente se encuentra en algún lugar de la forma en que se procesan los archivos Pak.
Resulta que los archivos Pak son archivos en formato TAR y su procesamiento antes de la extracción incluye la validación de firmas, controles de integridad, controles de manifiesto y varios otros pasos. «Si podemos crear un archivo tar que pase todas estas comprobaciones, llegaremos a la línea 493 y ExtractFiles analizará nuestro tar malicioso, permitiéndonos escribir un archivo con el contenido de nuestra elección en cualquier parte del sistema de archivos», dijeron los investigadores. dicho. «Es cierto que pasamos algún tiempo creando manualmente un archivo tar que pasaría todas estas comprobaciones antes de darnos cuenta de que simplemente podíamos usar un archivo de actualización legítimo con una pequeña modificación para acomodar nuestra carga útil».
vRealize Log Insight obligado a descargar un archivo PAK malicioso
En este punto, los investigadores tenían la información que necesitaban para obligar al producto vRealize Log Insight a descargar un archivo Pak malicioso sin autenticación y luego colocar una carga útil maliciosa en algún lugar del sistema. Excepto por un problema: llamar a remotePakDownloadCommand requiere un token de nodo, un valor único generado por instancia de Log Insight.
Aunque este token no está disponible directamente para un usuario no autenticado, se puede perder al llamar a otros RPC, como getConfig y getHealthStatus. Este es probablemente el problema de divulgación de información que VMware está rastreando en su aviso en CVE-2022-31711.
De esta manera, los investigadores de Horizon3 pudieron construir un exploit de prueba de concepto que coloca una nueva entrada en crontab, el mecanismo de programación de tareas en los sistemas basados en Linux, que, cuando se ejecuta, crea un shell inverso con derechos de apertura de raíz para el atacantes
La cuarta vulnerabilidad en el aviso de VMware es un problema de deserialización rastreado como CVE-2022-31710 que puede explotarse para bloquear el sistema, lo que resulta en una condición de denegación de servicio. Esta vulnerabilidad no es necesaria para la cadena de explotación que conduce a la ejecución remota de código.
Log Insight se utiliza para recopilar y analizar registros de redes de área local, por lo que no es habitual que dichos sistemas estén expuestos a Internet. Las búsquedas de Shodan en el rango de IP públicas arrojaron solo 45 casos. Sin embargo, si un atacante obtiene acceso a la red local, lo que se puede lograr de muchas maneras, y el servidor de Log Insight no está protegido por un firewall, puede verse comprometido y potencialmente utilizado para el movimiento lateral debido a los datos confidenciales que puede contener. .
Los investigadores de Horizon3 han publicado indicadores de compromiso, lo que permite a las organizaciones verificar sus implementaciones en busca de signos de explotación. VMware lanzó una secuencia de comandos alternativa que bloquea el tráfico a los números de puerto conectados al servidor Thrift RPC y la versión 8.10.2 de vRealize Log Insight que corrige los errores.
Derechos de autor © 2023 IDG Communications, Inc.
Hemos recibido este contenido de ciberseguridad de: CSO Online
Encontrarás la noticia original en el siguiente enlace: https://www.csoonline.com/article/3687171/remote-code-execution-exploit-chain-available-for-vmware-vrealize-log-insight.html#tk.rss_news
