Kritik uzaktan kod yürütme güvenlik edilmiş keşfedilen bir saldırganın web uygulaması ayrıcalıklarıyla sistemine yetkisiz erişim sağlamasına olanak verebilecek CYBERARK Şirket Şifre Vault uygulamasındaki.
Kurumsal şifre yöneticisi (EPV) çözümleri, kuruluşların hassas parolalarını güvenli bir şekilde yönetmelerine, çok çeşitli istemci / sunucu ve ana bilgisayar işletim sistemleri, anahtarlar, veritabanları üzerinde ayrıcalıklı hesap şifrelerini kontrol etmelerine ve bunları harici saldırganların yanı sıra kötü niyetli içeriden de koruyabilmelerine yardımcı olur.
Alman siber güvenlik firması RedTeam Pentesting GmbH tarafından keşfedilen bu güvenlik açığı, hassas parolaları yöneten ve ayrıcalıklı hesapları denetleyen bir parola yönetimi ve güvenlik aracı olan CyberArk tarafından tasarlanan Enterprise Password Vault uygulamalarından birini etkilemektedir.
Güvenlik açığı (CVE-2018-9843) CyberArk Parola Kasası Web Erişimi’nde yer alır ve şirketin kendi hesaplarına uzaktan erişmesine yardımcı olmak için şirket tarafından oluşturulan bir .NET web uygulamasıdır.
Kusur, web sunucusunun serileştirme işlemlerini güvenli bir şekilde ele alma biçiminden kaynaklanıyor, bu da saldırganların serileştirilmiş verileri işleyen sunucu üzerinde kod yürütmesine izin verebilir.
Araştırmacılara göre, bir kullanıcı kendi hesabına giriş yaptığında, uygulama, base64 kodlanmış bir seri hale getirilmiş .NET nesnesini içeren bir yetkilendirme üstbilgisini içeren sunucuya bir kimlik doğrulama isteği göndermek için REST API’sini kullanır. Bu seri hale getirilmiş .NET nesnesi, kullanıcının oturumu hakkındaki bilgileri tutar, ancak araştırmacılar, “serileştirilmiş verilerin bütünlüğünün korunmadığını” buldular. Sunucu seri hale getirilmiş verilerin bütünlüğünü doğrulayamadığından ve seri kaldırma işlemlerini güvenli bir şekilde ele almadığından saldırganlar, zararlı kodlarını yetkilendirme başlığına enjekte etmek için yalnızca kimlik doğrulama jetonlarını kullanabilirler ve “web sunucusunda yetkilendirilmemiş, uzaktan kod çalıştırma” kazanırlar.
Araştırmacılar ayrıca , nesnelerin güvensiz serileştirilmesini gerçekleştiren .NET uygulamalarına yönelik bir açık kaynak aracı olan ysoserial.net’i kullanarak güvenlik açığını göstermek için tam bir kavram kanıtı yayınladılar .
Güvenlik açığı ve yararlanma kodunun teknik ayrıntıları, RedTeam’in CyberArk’a yönelik güvenlik açığını sorumlu bir şekilde bildirmesi ve şirketin CyberArk Password Vault Web Access’in yamalanmış sürümlerini yayınlaması sonrasında ortaya çıktı.
CyberArk Password Vault Web Access’i kullanan işletmelerin yazılımlarını 9.9.5, 9.10 veya 10.2 sürümlerine yükseltmeleri önerilir.
Yazılımınızı derhal yükseltememeniz durumunda, bu güvenlik açığını gidermek için olası bir geçici çözüm, API / routeVault / WebServices yolundaki herhangi bir erişimin devre dışı bırakılmasıdır.