مشخصات فنی و یک بهره‌بردار اثبات ادعا برای یک نقص امنیتی مهم اخیر در Progress Software OpenEdge Authentication Gateway و AdminServer در دسترس قرار گرفته است که می‌تواند به طور بالقوه برای دورزدن حفاظت‌های احراز هویت مورد بهره‌برداری قرار گیرد.
این آسیب‌پذیری که به‌عنوان CVE-2024-1403 ردیابی می‌شود[۱]، دارای حداکثر درجه شدت ۱۰ در سیستم امتیازدهی CVSS است. این آسیب‌پذیری نسخه‌های ۱۱٫۷٫۱۸ و قبل از آن، ۱۲٫۲٫۱۳ و قبل از آن و ۱۲٫۸٫۰ از OpenEdge را تحت تاثیر قرار می دهد.
این شرکت در گزارشی که اواخر ماه گذشته منتشر شد، گفت[۲]: “هنگامی که OpenEdge Authentication Gateway یا همان OEAG با یک دامنه OpenEdge پیکربندی می‌شود که از ارائه‌دهنده احراز هویت محلی سیستم‌عامل برای اعطای ورود به شناسه کاربری و رمز عبور در پلتفرم‌های عامل پشتیبانی شده توسط نسخه‌های فعال OpenEdge استفاده می‌کند، یک آسیب‌پذیری در روال‌های احراز هویت ممکن است منجر به یک دسترسی غیرمجاز در تلاش برای ورود به سیستم شود.”
به طور مشابه، هنگامی که یک اتصال AdminServer توسط OpenEdge Explorer (OEE) و OpenEdge Management (OEM) ایجاد می‌شود، از ارائه‌دهنده احراز هویت محلی سیستم‌عامل در پلتفرم‌های پشتیبانی شده برای اعطای ورود به شناسه کاربری و رمز عبور استفاده می‌کند که ممکن است منجر به دسترسی غیرمجاز به ورود به سیستم شود.
Progress Software گفت این آسیب‌پذیری به‌اشتباه موفقیت احراز هویت را از دامنه محلی OpenEdge برمی‌گرداند، اگر انواع نام‌های کاربری و رمزهای عبور غیرمنتظره به‌درستی مدیریت نشود که منجر به دسترسی غیرمجاز بدون احراز هویت مناسب می‌شود.
این نقص در نسخه‌های ۱۱٫۷٫۱۹، ۱۲٫۲٫۱۴ و ۱۲٫۸٫۱ از OpenEdge LTS Update برطرف شده است.
Horizon3.ai که سرویس آسیب‌پذیر AdminServer را مهندسی معکوس کرده است، از آن زمان یک PoC برای CVE-2024-1403 منتشر کرده است[۳] که بیان می‌کند مشکل ریشه در تابعی به نام connect() دارد که هنگام برقراری ارتباط از راه دور فراخوانی می‌شود.
این تابع، به نوبه خود، تابع دیگری به نام autorizeUser() را فراخوانی می‌کند که تأیید می‌کند اعتبارنامه‌های ارائه‌شده معیارهای خاصی را دارند و کنترل را به قسمت دیگری از کد منتقل می‌کند که اگر نام کاربری ارائه‌شده با «NT AUTHORITY\SYSTEM» مطابقت داشته باشد[۴]، مستقیماً کاربر را احراز هویت می‌کند.
Zach Hanley، محقق امنیتی، می‌گوید[۵]: «به نظر می‌رسد که سطح مهاجم عمیق‌تر به کاربر اجازه می‌دهد تا برنامه‌های جدید را از طریق منابع فایل WAR راه‌اندازی کند، اما پیچیدگی برای رسیدن به این سطح حمله به دلیل استفاده از واسطه‌های پیام سرویس داخلی و پیام‌های سفارشی، به طور چشمگیری افزایش‌یافته است».
“ما معتقدیم که باتوجه‌به تلاش کافی تحقیقاتی، مجدداً راهی برای اجرای کد از راه دور از طریق عملکرد داخلی وجود دارد.”
منابع
[۱] https://nvd.nist.gov/vuln/detail/CVE-2024-1403
[۲] https://community.progress.com/s/article/Important-Critical-Alert-for-OpenEdge-Authentication-Gateway-and-AdminServer
[۳] https://github.com/horizon3ai/CVE-2024-1403
[۴] https://learn.microsoft.com/en-us/windows/win32/services/localsystem-account
[۵] https://www.horizon3.ai/attack-research/cve-2024-1403-progress-openedge-authentication-bypass-deep-dive/
[۶] https://thehackernews.com/2024/03/proof-of-concept-exploit-released-for.html
ثبت ديدگاه