Cette semaine dans la sécurité: passerelles VPN, attaques à l'état sauvage, VLC et un encombrement d'adresse IP

3 commentaires

• par:
Jonathan Bennett

30 août 2019

Nous allons commencer par d'autres nouvelles de Black Hat / DEFCON. [Meh Chang] et [Orange Tsai] de Devcore ont examiné les périphériques Fortinet et Pulse Secure et ont détecté plusieurs vulnérabilités. ( Diapositives PDF ) Ils publient des résumés pour cette recherche et le résumé de la recherche Fortinet est maintenant disponible.
C'est… pas génial. Il existe plusieurs vulnérabilités de pré-authentification, ainsi que ce qui semble être une porte dérobée intentionnelle.
CVE-2018-13379 abuse d'un appel snprintf lors de la demande d'une autre langue pour la page de connexion du périphérique. Snprintf est une alternative à sprintf , mais elle est conçue pour empêcher les débordements de tampon en incluant la longueur maximale de chaîne à écrire dans le tampon cible, ce qui semble être une bonne idée mais peut entraîner une troncature illicite.
Le code en question ressemble à snprintf(s, 0x40, "/migadmin/lang/%s.json", lang); .
Lors du chargement de la page de connexion, un fichier de langue est demandé et le fichier est envoyé à l'utilisateur. À première vue, il semble que cela limiterait effectivement le fichier renvoyé à un fichier .json à partir du dossier spécifié. Malheureusement, il n'y a pas d'autre validation d'entrée sur la demande, aussi une langue de ../../arbitrary est considérée comme parfaitement légitime, échappant au dossier prévu. Cela provoquerait des fuites de fichiers json arbitraires, mais comme snprintf n'échoue pas si elle dépasse la longueur spécifiée, envoyer une requête pour une langue suffisamment longue a pour conséquence l'extension «.json» de ne pas être ajoutée à la requête.
Un module metasploit a été écrit pour tester cette vulnérabilité et demande une /../../../..//////////dev/cmdb/sslvpn_websession de /../../../..//////////dev/cmdb/sslvpn_websession . C'est juste assez long pour forcer l'extension json à tomber de la fin de la chaîne, et la convention Unix est d'ignorer les barres obliques supplémentaires dans un chemin. Juste comme ça, le Fortigate sert n'importe quel fichier sur son système de fichiers juste pour demander gentiment.
Plus inquiétant que le bogue snprintf est la valeur magique qui semble être une porte dérobée intentionnelle. Une simple chaîne de 14 caractères envoyée en tant que chaîne de requête http contourne l'authentification et permet de changer le mot de passe de n'importe quel utilisateur, sans aucune authentification. Cette histoire est encore jeune, il est possible que cela ait été conçu pour un but bénin. Si c'est une erreur honnête, c'est un signe d'incompétence. Si c'est une porte dérobée intentionnelle, il est temps de retirer tout l'équipement Fortinet dont vous disposez.
Les VPN Pulse Secure présentent une vulnérabilité similaire en lecture arbitraire de fichiers pré-autorisation. Une fois le rapport complet publié, nous en parlerons également.

Exploitation à l'état sauvage

Mais attendez, il y a plus. Cachez vos enfants, cachez votre femme. Selon ZDNet, Webmin, Pulse Secure et Fortigate sont déjà activement exploités . D'après les rapports de Bad Packets, la porte dérobée Webmin était ciblée dans les analyses un jour après l'annonce et exploitée dans les trois jours suivant l'annonce. Un botnet se propage déjà via cette porte dérobée. On estime à environ 29 000 le nombre de serveurs vulnérables connectés à Internet.
Les appliances Pulse Secure et Fortinet Fortigate VPN sont également activement ciblées. Même si les vulnérabilités ont été signalées en premier lieu aux fournisseurs et corrigées bien avant la divulgation publique, il reste des milliers de périphériques vulnérables. Apparemment, les routeurs et les autres matériels de l’appliance réseau sont des solutions incendiaires et souvent sans mises à jour de sécurité importantes.

VLC est réellement vulnérable cette fois

Le lecteur multimédia VLC a publié une nouvelle mise à jour, corrigeant 11 CVE . Ces CVE sont tous des cas de mauvaise gestion de fichiers multimédias mal formés et ne peuvent être exploités qu'en ouvrant un fichier malveillant avec VLC. Assurez-vous de mettre à jour VLC si vous l'avez installé. Bien qu'aucune exécution de code arbitraire n'ait été démontrée pour ces problèmes, il est probable que cela se produise un jour.

Adresses IP du marché gris

Avec l'épuisement des adresses IPv4, beaucoup ont commencé à utiliser d'autres méthodes pour acquérir un espace d'adressage, y compris l'élément criminel. Krebs on Security détaille son enquête sur une de ces histoires : Residential Networking Solutions LLC (Resnet). Tout a commencé avec une légère hausse des transactions frauduleuses provenant d'adresses IP résidentielles Resnet. S'agissait-il d'une véritable entreprise fournissant une connectivité Internet ou d'une entreprise criminelle?