Ошибки в библиотеках позволяют злоумышленникам проникнуть в систему.
https://www.securitylab.ru/upload/ib...24bede4dea.jpg
Исследователи обнаружили пять уязвимостей в сетевом оборудовании Aruba (принадлежит HP) и Avaya (принадлежит ExtremeNetworks), позволяющие злоумышленникам удаленно выполнять произвольный код на устройствах. Атака может привести к различным последствиям - от утечки данных и полного захвата устройства до бокового перемещения и преодоление защиты сегментации сети.
Напомним, под именем TLStorm скрывались сразу три 0-day уязвимости, которые позволяли хакерам установить полный контроль над источниками бесперебойного питания (UPS) компании APC и осуществлять «экстремальные киберфизические атаки».
Исследователи безопасности из компании Armis назвали новый набор уязвимостей TLStorm 2.0 , из-за схожести с уязвимостью нулевого дня популярных моделей UPS ИБП . Аналитики заявили об идентичном риске для устройств других производителей и составили список уязвимых продуктов:<ul><li>Avaya ERS3500 Series</li>
</ul><ul><li>Avaya ERS3600 Series</li>
</ul><ul><li>Avaya ERS4900 Series</li>
</ul><ul><li>Avaya ERS5900 Series</li>
</ul><ul><li>Aruba 5400R Series</li>
</ul><ul><li>Aruba 3810 Series</li>
</ul><ul><li>Aruba 2920 Series</li>
</ul><ul><li>Aruba 2930F Series</li>
</ul><ul><li>Aruba 2930M Series</li>
</ul><ul><li>Aruba 2530 Series</li>
</ul><ul><li>Aruba 2540 Series</li>
</ul>В случае TLStorm 2.0 причина проблемы заключается в том, что используемый поставщиками код «связующей логики» не соответствует рекомендациям NanoSSL, что потенциально приводит удаленному выполнению кода.
Уязвимости в библиотеке Aruba NanoSSL также используются в сервере аутентификации Radius (CVE-2022-23677) и в системе Сaptive Portal (CVE-2022-23676), позволяя удаленному злоумышленнику вызвать переполнение буфера.
В Avaya реализация библиотеки содержит три уязвимости:<ul><li>переполнен� �е кучи TLS (CVE-2022-29860);</li>
</ul><ul><li>переполнение стека при синтаксическом анализе HTTP-заголовка (CVE-2022-29861);</li>
</ul><ul><li>переполнение при обработке HTTP POST запросов.</li>
</ul>Проблема не в самой библиотеке, а в ее реализации.
Armis представила два основных сценария эксплуатации, которые позволяют выйти за пределы Captive portal или нарушить сегментацию сети.
В первом сценарии злоумышленник получает доступ к веб-странице ограниченного сетевого ресурса, требующего оплаты или другой токен доступа. Captive Portal обычно используется в гостиницах, аэропортах и в бизнес-центрах. С помощью TLStorm 2.0 злоумышленник может удаленно выполнить код на коммутаторе, обойдя ограничения captive portal или полностью отключив их.
Во втором сценарии киберпреступник может использовать уязвимость для нарушения сегментации сети и получить доступ к любым частям IT-системы, свободно перемещаясь из гостевого пространства в корпоративный сегмент.
Armis проинформировал Aruba и Avaya о TLStorm 2.0 три месяца назад. Клиенты были уведомлены и получили обновления с исправлением уязвимости.