Domov      Nastavenia 
RSS English Slovensky

Aktuálne
Mesačná správa CSIRT.SK - Jún 2019
Tlačové správy
19.07.2019
Mesačný prehľad za mesiac jún 2019
Tlačové správy
01.07.2019
Mesačná správa CSIRT.SK - Máj 2019
Tlačové správy
28.06.2019
Zahraničné zdroje
Nahlásené incidenty
1.1.2018 - 31.12.2018
 

Graf

Závažné zraniteľnosti v Kace K1000

11.06.2019
V zariadeniach Kace K1000 sa nachádza niekoľko závažných zraniteľností, ktoré umožňujú autentifikovanému útočníkovi prístup k citlivým údajom z aplikačnej databázy a vykonávať JavaScript kód. Zároveň môže vzdialene aj bez autentifikácie pridať nový administrátorský účet, alebo meniť nastavenia na zraniteľnom zariadení.

 

Dôsledky

  • Prístup ku dôverným informáciám
  • Zmena nastavení
  • Prevzatie relácií iných používateľov, vrátane administrátora

Opis činnosti
CVE-2018-5404, CVE-2018-5405, CVE-2018-5406

Zariadenie na správu systémov Kace K1000 od spoločnosti Quest umožňuje spoločnostiam spravovať zariadenia pripojené na sieť, hardvér a softvér, aktualizovať aplikácie a operačný systém a spravovať licencie.

Práve v tomto nástroji našiel bezpečnostný výskumník Kapil Khot viacero závažných zraniteľností. Identifikované sú pod číslami CVE-2018-5404 (niekoľko chýb umožňujúcich slepú SQL injekciu), CVE-2018-5405 (XSS) a CVE-2018-5406 (zvýšenie práv, CSRF).

Vzdialenému, overenému útočníkovi s najnižšími privilégiami “User Console Only” umožňujú získať dáta z databázy aplikácie pomocou SQL injekcie, nakoľko používateľský vstup nie je vhodne sanitizovaný [prvá]. Útočník taktiež dokáže vložiť ľubovoľný JavaScript kód pri vytváraní tiketov, ktorý sa vykoná pri zobrazení tiketu. Takto môže prevziať kontrolu nad reláciami iných používateľov vrátane administrátorskej krádežou súborov cookie. Softvér nesprávne sanitizuje používateľský vstup pred jeho použitím vo výstupe, ktorým je webová stránka poskytovaná ďalším používateľom [druhá]. Khot tiež zistil, že neautentifikovaný vzdialený útočník by bol schopný pridať nového administrátora alebo zmeniť nastavenia zariadenia vďaka chybám v konfigurácii mechanizmu CORS (Cross-Origin Resource Sharing) [tretia].

Minulý rok bolo nájdených viac ako 60 zraniteľností na systémoch od Quest.

Zraniteľné systémy
Zariadenia Kace K1000 verzie staršej ako 9.0.270

Závažnosť zraniteľnosti
Vysoká

Možné škody
SQL injekcia
Cross-site scripting (XSS)
Vzdialené vykonávanie kódu

Odporúčania
Aktualizácia aspoň na verziu 9.0.270

Odkazy
https://www.securityweek.com/serious-vulnerabilities-found-kace-k1000-appliance
https://www.exploit-db.com/exploits/46956
https://vuldb.com/?id.135854
https://vuldb.com/?id.135855
https://vuldb.com/?id.135856



<< zoznam oznámení