Peneliti cybersecurity telah mengungkapkan beberapa kerentanan keamanan parah platform manajemen aset Device42 yang, jika berhasil dieksploitasi, dapat memungkinkan aktor jahat untuk menguasai sistem yang terpengaruh.

“Dengan mengeksploitasi masalah ini, penyerang dapat menyamar sebagai pengguna lain, mendapatkan akses tingkat admin dalam aplikasi (dengan membocorkan sesi dengan LFI) atau mendapatkan akses penuh ke file dan basis data alat (melalui eksekusi kode jarak jauh),” kata Bitdefender dalam laporan hari Rabu.

Keamanan cyber

Yang lebih memprihatinkan, musuh dengan tingkat akses apa pun di dalam jaringan host dapat menghubungkan tiga kelemahan untuk melewati perlindungan otentikasi dan mencapai eksekusi kode jarak jauh dengan hak istimewa tertinggi.

Device42 Perangkat Lunak Manajemen Aset TI

Masalah yang dimaksud tercantum di bawah ini –

  • CVE-2022-1399 – Eksekusi Kode Jarak Jauh dalam komponen tugas terjadwal
  • CVE-2022-1400 – Kunci enkripsi hard-coded IV di Exago WebReportsApi.dll
  • CVE 2022-1401 – Validasi tidak memadai dari jalur yang disediakan di Exago
  • CVE-2022-1410 – Eksekusi Kode Jarak Jauh di konsol ApplianceManager
Device42 Perangkat Lunak Manajemen Aset TI

Kelemahan yang paling kritis adalah CVE-2022-1399, yang memungkinkan untuk mengeksekusi instruksi bash melalui injeksi perintah dan dengan izin root, memberikan penyerang kontrol penuh atas alat yang mendasarinya.

Keamanan cyber

Meskipun eksekusi kode jarak jauh tidak dapat dicapai dengan sendirinya, kode tersebut dapat dirangkai bersama dengan CVE 2022-1401 dan CVE-2022-1400 untuk mengekstrak pengidentifikasi sesi yang valid dari pengguna yang sudah diautentikasi dengan memanfaatkan kerentanan inklusi file lokal yang ditemukan di komponen pelaporan Exago .

Related Post :   Peretas Tiongkok Mendistribusikan Alat Pengebom SMS dengan Malware Tersembunyi Di Dalam

Menyusul pengungkapan yang bertanggung jawab oleh perusahaan keamanan siber Rumania pada 18 Februari, kelemahan tersebut diatasi oleh Device42 dalam versi 18.01.00 yang dirilis pada 7 Juli 2022.