Η Υπηρεσία Κυβερνοασφάλειας και Ασφάλειας Υποδομής (CISA) έχει εξέδωσε μια προειδοποίηση σχετικά με την ενεργή εκμετάλλευση δύο σημαντικών τρωτών σημείων στους διακομιστές Microsoft SharePoint. Η πρώτη ευπάθεια, που προσδιορίζεται ως CVE-2023-24955, επιτρέπει στους εισβολείς να έχουν πιστοποιημένη πρόσβαση και κάτοχο ιστότοπου προνόμια για την απομακρυσμένη εκτέλεση κώδικα σε διακομιστές που επηρεάζονται. Το δεύτερο, CVE-2023-29357, επιτρέπει στους απομακρυσμένους επιτιθέμενους να αποκτήσουν διαχειριστικά προνόμια μέσω της παράκαμψης μηχανισμούς ελέγχου ταυτότητας χρησιμοποιώντας πλαστά διακριτικά ελέγχου ταυτότητας JWT. Αυτά τα τρωτά σημεία μπορούν να συνδυαστούν για να επιτραπεί σε μη επαληθευμένους εισβολείς να εκτελούν κώδικα απομακρυσμένα σε διακομιστές SharePoint που δεν έχουν επιδιορθωθεί.
Επιδείχθηκε η εκμετάλλευση και κυκλοφόρησε η απόδειξη της ιδέας
Τα τρωτά σημεία. Η πιθανότητα βλάβης παρουσιάστηκε από τον ερευνητή του STAR Labs Nguyễn Tiến Giang (Janggggg) κατά τη διάρκεια του διαγωνισμού Pwn2Own στο Βανκούβερ23 στις 2 Μαρτίου. Μετά από αυτήν την επίδειξη, μια εκμετάλλευση απόδειξης της ιδέας (PoC) για το CVE-2023-29357 έγινε δημόσια διαθέσιμη στο GitHub στις 25 Σεπτεμβρίου, μια ημέρα μετά τη δημοσίευση μιας λεπτομερούς τεχνικής ανάλυσης της διαδικασίας εκμετάλλευσης από τον ερευνητή. Αν και η αρχική εκμετάλλευση PoC δεν διευκόλυνε την απομακρυσμένη εκτέλεση κώδικα, έχει προταθεί ότι οι φορείς απειλών θα μπορούσαν να τροποποιήσουν αυτήν την εκμετάλλευση για να αξιοποιήσουν το CVE-2023-24955 για επιθέσεις απομακρυσμένης εκτέλεσης κώδικα. Έκτοτε, πολλαπλές εκμεταλλεύσεις PoC που στοχεύουν αυτήν την αλυσίδα εκμετάλλευσης έχουν εμφανιστεί στο διαδίκτυο, αυξάνοντας την ευκολία με την οποία οι εισβολείς μπορούσαν να εκμεταλλευτούν αυτά τα τρωτά σημεία.
[ενσωματωμένο περιεχόμενο]
Απάντηση και συστάσεις της CISA
Σε απάντηση σε Αυτές οι απειλές, η CISA έχει λάβει σημαντικά μέτρα για τον μετριασμό των κινδύνων που ενέχουν αυτά τα τρωτά σημεία. Η υπηρεσία πρόσθεσε το CVE-2023-29357 στον Κατάλογο γνωστών εκμεταλλευόμενων ευπαθειών τον Οκτώβριο, αναθέτοντας στις ομοσπονδιακές υπηρεσίες των ΗΠΑ να επιδιορθώστε την ευπάθεια έως τις 31 Ιανουαρίου. Πιο πρόσφατα, το CVE-2023-24955 προστέθηκε επίσης στον κατάλογο, με προθεσμία συμμόρφωσης που έχει οριστεί για τις 16 Απριλίου. Αυτές οι οδηγίες, μέρος της δεσμευτικής επιχειρησιακής οδηγίας BOD 22-01, υπογραμμίζουν τον επείγοντα χαρακτήρα της αντιμετώπισης αυτά τα ελαττώματα ασφαλείας για την προστασία των ομοσπονδιακών επιχειρήσεων από πιθανές επιθέσεις στον κυβερνοχώρο.
Ενώ η CISA δεν έχει παράσχει συγκεκριμένες λεπτομέρειες για επιθέσεις που εκμεταλλεύονται αυτές τις ευπάθειες του SharePoint, η υπηρεσία τόνισε την απουσία στοιχείων που να τις συνδέουν με επιθέσεις ransomware. Ωστόσο, η CISA έχει επισημάνει τον σημαντικό κίνδυνο που ενέχουν αυτές οι ευπάθειες για την ομοσπονδιακή επιχείρηση, προτρέποντας όχι μόνο τις ομοσπονδιακές υπηρεσίες αλλά και τους ιδιωτικούς οργανισμούς να δώσουν προτεραιότητα στην επιδιόρθωση αυτών των τρωτών σημείων για την πρόληψη πιθανών επιθέσεων. Η εκμετάλλευση αυτών των τρωτών σημείων υπογραμμίζει τις συνεχείς απειλές που αντιμετωπίζουν οι οργανισμοί και τη σημασία της διατήρησης ισχυρών πρακτικών ασφάλειας στον κυβερνοχώρο για την προστασία ευαίσθητων πληροφοριών και υποδομών.