آسیب‌پذیری‌های جدید Juniper Junos OS، دستگاه‌ها را در معرض حملات از راه دور قرار می‌دهد.
1402/06/04
مایکروسافت پچ‌های جدیدی را برای رفع دو نقص امنیتی Zero-Day منتشر کرد.
1402/06/26
بر اساس گزارش جدید VulnCheck، هزاران سرور Openfire XMPP در برابر یک آسیب‌پذیری با شدت بالا که اخیراً فاش شده است، پچ نشده‌اند و در معرض یک سوءاستفاده جدید هستند.
این آسیب‌پذیری که به‌عنوان CVE-2023-32315 ردیابی می‌شود (امتیاز CVSS: 7.5)، به یک آسیب‌پذیری پیمایش مسیر در کنسول مدیریتی Openfire مربوط می‌شود که می‌تواند به مهاجمی که احراز هویت نشده اجازه دسترسی به صفحات محدودشده برای کاربران ممتاز را بدهد.
همه نسخه‌های نرم‌افزار منتشرشده از آوریل ۲۰۱۵، از نسخه ۳٫۱۰٫۰ را تحت تأثیر قرار می‌دهد. در اوایل ماه می با انتشار نسخه‌های ۴٫۶٫۸، ۴٫۷٫۵ و ۴٫۸٫۰ توسط توسعه‌دهنده آن (Ignite Realtime)، اصلاح شد.
مسئولان در یک توصیه دقیق گفتند:
«حفاظت‌های پیمایش مسیر دقیقاً برای محافظت در برابر این نوع حمله‌ها در نظر گرفته‌شده، اما در برابر کدهای URL غیراستاندارد خاص برای کاراکترهای UTF-16 که توسط وب سرور تعبیه‌شده موفق نبودند.»
«به‌روزرسانی بعدی وب سرور تعبیه‌شده شامل پشتیبانی از رمزگذاری غیراستاندارد URL از کاراکترهای UTF-16 بود.
حفاظت‌های پیمایش مسیر موجود در Openfire به‌روزرسانی نشدند تا در برابر این رمزگذاری جدید محافظت کنند. »
درنتیجه، یک عامل تهدید می‌تواند از این ضعف برای دور زدن الزامات احراز هویت برای صفحات کنسول مدیریت سوءاستفاده کند. این آسیب‌پذیری از آن زمان در دنیای واقعی تحت استفاده بوده، ازجمله توسط مهاجمان مرتبط با بدافزار بات‌نت کریپتو Kinsing (معروف به Money Libra) استفاده شده است.
اسکن Shodan انجام‌شده توسط شرکت امنیت سایبری نشان می‌دهد که از بیش از ۶۳۰۰ سرور Openfire که از طریق اینترنت قابل‌دسترسی هستند، تقریباً ۵۰٪ از آنها، نسخه‌های آسیب‌پذیر راه‌کار متن‌باز XMPP را اجرا می‌کنند.
درحالی‌که اکسپلویت های عمومی از این آسیب‌پذیری برای ایجاد یک کاربر مدیریتی، ورود به سیستم و سپس آپلود یک افزونه برای دستیابی به اجرای کد استفاده کرده‌اند، VulnCheck گفت که انجام این کار بدون نیاز به ایجاد یک حساب کاربری امکان‌پذیر است، و این امر برای عوامل تهدید مخفی‌تر و جذاب‌تر می‌شود..
Jacob Baines، محقق امنیتی، با تشریح شیوه‌های عملکرد اکسپلویت‌های موجود، گفت که آنها شامل «ایجاد یک کاربر مدیر برای دسترسی به رابط Openfire Plugins» هستند.
“سیستم پلاگین به مدیران اجازه می‌دهد تا از طریق جاوا JAR های آپلود شده، کم‌وبیش، عملکرد دلخواه خود را به Openfire اضافه کنند. واضح است که این، مکانی برای انتقال از دور زدن احراز هویت به اجرای کد از راه دور است.”
از سوی دیگر، روش بهبودیافته و کم‌صدا توسط VulnCheck، از یک رویکرد بدون کاربر استفاده می‌کند که با دسترسی به یک صفحه به نام ‘plugin-admin.jsp’، شناسه JSESSIONID و توکن CSRF را استخراج می‌کند و سپس با ارسال یک درخواست POST، پلاگین JAR را بارگذاری می‌کند.
Baines می‌گوید: “بدون احراز هویت، این افزونه پذیرفته و نصب می‌شود.” “سپس می‌توان به پوسته وب، بدون احراز هویت، با استفاده از پیمایش دسترسی داشت.”
“این رویکرد تلاش‌های ورود به سیستم را خارج از گزارش ممیزی امنیتی نگه می‌دارد و از ثبت اعلان “افزونه آپلود شده” جلوگیری می‌کند.
به گفته این شرکت، تنها نشانه‌هایی که نشان می‌دهد اتفاقی مخرب در حال وقوع است، گزارش‌های ثبت‌شده در فایل openfire.log است که دشمن می‌تواند با استفاده از CVE-2023-32315 آنها را حذف کند.
با توجه به اینکه این آسیب‌پذیری در حال حاضر در حملات دنیای واقعی مورد سوءاستفاده قرارگرفته است، توصیه می‌شود که کاربران به‌سرعت به آخرین نسخه‌ها به‌روزرسانی شوند تا در برابر تهدیدات احتمالی ایمن شوند.
منبع
مطالب مرتبط
آسیب‌پذیری جدید WinRAR موجب کنترل کامپیوتر شما می‌شود.
آسیب‌پذیری‌های جدید Juniper Junos OS
کشف حفره امنیتی خطرناک در CPU اینتل
