Ievainojamības atklāšana
SWQL injekcija SolarWinds Platform
SolarWinds Platform (≤ 2024.1 SR 1)
CVE-2024-28996 ir SWQL (SolarWinds Query Language) injekcijas ievainojamība SolarWinds Platform, kas ļāva ar īpaši veidotu vaicājumu manipulēt pamatā esošo datubāzes slāni. Tā tika atklāta ielaušanās testēšanas laikā NATO Sakaru un informācijas aģentūrai un novērsta SolarWinds Platform 2024.2 versijā.
OffSeq
3 min lasīšanai
Kritiskums: AugstsCVSS 7.5CVE-2024-28996
Galvenie fakti
- Identifikators
- CVE-2024-28996
- Klase
- CWE-89 (SQL/SWQL injekcija)
- Kritiskums
- Augsts
- CVSS
- 7.5
- Ražotājs
- SolarWinds
- Skartās versijas
- SolarWinds Platform 2024.1.1 un vecākas
- Novērsts
- SolarWinds Platform 2024.2
- Loma
- Atklājumu atzinis ražotājs
- Statuss
- Publicēts, izlabots
CVSS bāzes vērtējums
/ 10Augsts
Katrs vērtējums veidojas no astoņiem vienkāršiem jautājumiem par to, kā uzbrukums darbojas un ko tas jums izmaksā.
Cik grūti to izmantot
Ko uzbrucējs var paveikt
Izvēlieties metriku, lai redzētu, ko tā nozīmē
CVSS:3.1/AV:A/AC:H/PR:N/UI:N/S:U/C:H/I:H/A:H
§ 01. Pārskats
SolarWinds Platform (agrāk Orion Platform) ir kopīgs pamats SolarWinds tīkla, sistēmu un lietojumprogrammu uzraudzības produktiem. Tā piedāvā SWQL – SolarWinds Query Language – kā uz lasīšanu orientētu vaicājumu saskarni pār platformas informācijas modeli. SWQL ļauj operatoriem un integrācijām vaicāt uzraudzītās entītijas, izmantojot SQL līdzīgu sintaksi, ko platforma pārveido vaicājumos pret savu backend datubāzi.
CVE-2024-28996 ir SWQL injekcijas ievainojamība šajā saskarnē. Trūkums tika konstatēts ielaušanās testēšanas laikā, kas tika veikta NATO Sakaru un informācijas aģentūrai (NCIA), un SolarWinds savā drošības paziņojumā atzina atklājumu. NVD reģistrē problēmu kā CWE-89 (nepareiza SQL komandā izmantotu īpašo elementu neitralizēšana) ar CVSS v3.1 bāzes vērtējumu 7.5 (Augsts).
§ 02. Kā tā darbojas
SWQL injekcija ir SolarWinds specifiskā SQL injekcijas forma. Tā kā SWQL priekšraksti galu galā tiek kompilēti vaicājumos, kas tiek izpildīti pret platformas pamatā esošo datubāzi, ievaddati, kas netiek pienācīgi neitralizēti pirms nonākšanas šajā pārveidošanas slānī, var mainīt iegūtā vaicājuma struktūru, nevis tikt uztverti tīri kā dati. Tādējādi uzbrucējs, kurš var ietekmēt SWQL vaicājumu, var manipulēt backend datubāzes vaicājumus, ko platforma izpilda viņa vārdā.
Publiskais CVSS vektors (CVSS:3.1/AV:A/AC:H/PR:N/UI:N/S:U/C:H/I:H/A:H) apraksta sasniedzamos apstākļus: vektors ir Blakusesošs (AV:A), nevis pilnībā attālināts, uzbrukuma sarežģītība ir Augsta (AC:H), un nav nepieciešamas privilēģijas vai lietotāja mijiedarbība. SolarWinds pašu apraksts norāda, ka šai ievainojamībai uzbrukuma sarežģītība ir augsta. Ietekmes rādītāji ir Augsti konfidencialitātei, integritātei un pieejamībai, atspoguļojot to, ka veiksmīga injekcija var nolasīt, mainīt vai izjaukt datus, kas tiek apstrādāti datubāzes slānī. Papildus šīm publiski dokumentētajām īpašībām precīzais injekcijas punkts un izmantošanas mehānika nav detalizēti aprakstīta publiskajos avotos un šeit netiek atkārtota.
§ 03. Ietekme
SolarWinds Platform atrodas daudzu uzraudzības izvietojumu centrā un uztur infrastruktūras inventāru, ar piekļuves datiem saistītus metadatus, brīdinājumus un darbības telemetriju. Ievadīšana, kas sasniedz backend vaicājumu slāni, grauj uzticamības robežu starp lietotāja iesniegtajiem vaicājuma ievaddatiem un datubāzi, tāpēc CVSS rādītāji novērtē konfidencialitātes, integritātes un pieejamības ietekmi kā Augstu.
Mīkstinošie faktori ir Blakusesošais uzbrukuma vektors un Augstā uzbrukuma sarežģītība, kas paaugstina praktiskas izmantošanas slieksni salīdzinājumā ar vienkāršu, uz internetu vērstu, zemas sarežģītības SQL injekciju. Neraugoties uz to, problēma ir novērtēta kā Augsta kritiskuma, un, ņemot vērā platformas privileģēto stāvokli uzraudzītajā vidē, skartajām organizācijām tika ieteikts to novērst nekavējoties.
§ 04. Skartās un izlabotās versijas
Ievainojamība skar SolarWinds Platform 2024.1.1 un vecākas versijas (šīs atklāšanas pamatojums attiecas uz versijām līdz 2024.1 SR 1). SolarWinds to novērsa SolarWinds Platform 2024.2 versijā.
Novēršana ir jaunināšana uz 2024.2 vai jaunāku versiju. CVE-2024-28996 tika izlabota tā paša 2024.2 laidiena ietvaros, kas atrisināja vairākas citas SolarWinds Platform problēmas, tāpēc šī laidiena piemērošana novērš gan šo SWQL injekciju, gan pārējās laidiena piezīmēs dokumentētās ievainojamības.
§ 05. Atklāšana un iznākums
Ievainojamība tika atklāta autorizētas ielaušanās testēšanas laikā, kas tika veikta NATO Sakaru un informācijas aģentūrai, un ziņota SolarWinds. SolarWinds publicēja drošības paziņojumu, koordinēja labojumu un atzina atklājumu. CVE tika piešķirts numurs CVE-2024-28996 un publicēts caur NVD.
Atklājums tiek attiecināts uz Nilu Putniņu (OffSeq Cybersecurity).
§ 06. Atklāšanas hronoloģija
- 2024-03-13CVE-2024-28996 rezervēts
- 2024-06-04Ievainojamība publicēta; SolarWinds Platform 2024.2 izlaista ar labojumu
Atsauces
- NVD – CVE-2024-28996 (atveras jaunā cilnē) (https://nvd.nist.gov/vuln/detail/CVE-2024-28996)
- SolarWinds Trust Center – drošības paziņojums CVE-2024-28996 (atveras jaunā cilnē) (https://www.solarwinds.com/trust-center/security-advisories/CVE-2024-28996)
- SolarWinds Platform 2024.2 laidiena piezīmes (atveras jaunā cilnē) (https://documentation.solarwinds.com/en/success_center/orionplatform/content/release_notes/solarwinds_platform_2024-2_release_notes.htm)
- CERT-EU drošības paziņojums 2024-055 (atveras jaunā cilnē) (https://cert.europa.eu/publications/security-advisories/2024-055/)
Atzinība
Atklāja Nils Putniņš (OffSeq Cybersecurity) ielaušanās testēšanas laikā NATO Sakaru un informācijas aģentūrai; novērsts SolarWinds Platform 2024.2 versijā.
Citi rezultāti
Starpvietņu skriptēšanas ievainojamība Oracle Enterprise Command Center
CVE-2023-22107 ir starpvietņu skriptēšanas (XSS) ievainojamība Oracle Enterprise Command Center (ECC) Framework komponentē, kas ietilpst Oracle E-Business Suite. Neautentificēts, tīklā bāzēts uzbrucējs, kurš pierunā leģitīmu lietotāju mijiedarboties ar īpaši veidotu pieprasījumu, var izpildīt skriptu šī lietotāja sesijā, iegūstot neautorizētu lasīšanas un atjaunināšanas piekļuvi daļai ECC datu un pieslēgtajiem produktiem. Oracle to novērsa 2023. gada oktobra kritiskajā ielāpu atjauninājumā (Critical Patch Update).
Ievainojamības atklāšana20232 min lasīšanai
Komandu injekcija novērsta Igaunijas nacionālajā eID programmatūrā
OffSeq atklāja un novērsa OS komandu injekcijas ievainojamību DigiDoc4 lietotnē – Igaunijas oficiālajā nacionālajā eID darbvirsmas lietojumprogrammā. Linux failu pārvaldnieka integrācija veidoja shell komandas no neattīrītiem failu nosaukumiem, tādēļ īpaši veidots faila nosaukums varēja izpildīt patvaļīgu kodu tajā brīdī, kad lietotājs izvēlējās parakstīt vai šifrēt attiecīgo failu. Labojums, kas aizstāja shell izsaukumu ar drošu argumentu sarakstu, tika pieņemts sākotnējā projektā.
Ievainojamības atklāšana20263 min lasīšanai
Servera avārija CERT.LV rīkā Graphoscope, ja lietotājs atvienojas augšupielādes laikā
OffSeq atklāja pakalpojuma atteices ievainojamību Graphoscope – CERT.LV publicētajā atvērtā koda platformā, kas ļauj no vienas saskarnes veikt vaicājumus daudzos neatkarīgos datu avotos un attēlot to sakarības grafā. Ja lietotājs augšupielādēja indikatoru sarakstu un aizvēra savienojumu pirms apstrādes beigām, serveris dereferencēja nil WebSocket un avarēja, izrakstot visus lietotājus. To droši varēja izraisīt jebkurš pašreģistrēts konts. OffSeq ziņoja par ievainojamību CERT.LV un iesniedza labojumu, ko CERT.LV iekļāva projektā.
Ievainojamības atklāšana20262 min lasīšanai