IPImen ، Firewall ، NGFirewall-UTM، آیپی ایمن، فایروال ایرانی ، فایروال بومی، یوتی ام بومی، یوتی ام ایرانی، فایروال نسل بعدی ایرانی، فایروال نسل بعدی بومی

CERT

کلمات رایج امنیت شبکه و فناوری اطلاعات IPImen

آسیب پذیری عظیم گزارش شده در Pulse Connect Secure VPN

takian.ir pulse secure vpn vulnerability 1

شرکت Ivanti که مسئول دستگاه های VPN Pulse Secure است، راهنمایی امنیتی برای آسیب پذیری بسیار جدی را منتشر کرده که ممکن است به مهاجم تایید شده از راه دور اجازه دهد که کد دلخواه خود را با اختیارات سطح دسترسی بالا اجرا نماید.

این شرکت در هشدار منتشر شده در تاریخ 14 ماه می، اعلام کرده است: "سرریز بافر در پروفایل های منبع فایل ویندوز درX.9 به کاربر تأیید شده از راه دور با اختیار دسترسی به فهرست اشتراک گذاری SMB اجازه می دهد تا کد دلخواه را به عنوان کاربر اصلی اجرا کند. از سویی، از نسخه 9.1 R3، این امکان به طور پیش فرض فعال نشده است".

این نقص که با نام CVE-2021-22908 شناخته می شود، دارای نمرهCVSS  هشت و نیم از حداکثر 10 است و بر نسخه های Pulse Connect Secure 9.0Rx و 9.1Rx تأثیر می گذارد. در گزارش جزئیات این آسیب پذیری، مرکز هماهنگی CERT گفته است که این مسئله از توانایی گیت وی برای اتصال به اشتراک گذاری فایل های ویندوز از طریق تعدادی از نقاط انتهایی CGI است که می تواند برای انجام حمله استفاده شود، نشات میگیرد.

مرکز هماهنگی CERT به طور دقیق در راهنمایی امنیتی آسیب پذیری که روز دوشنبه منتشر شد، اضافه کرد که با هدف قرار دادن اسکریپت CGI '/dana/fb/smb/wnf.cgi' قادر به ایجاد کد آسیب پذیر است: "در صورت تعیین یک نام طولانی سرور برای برخی از عملگرهای SMB، ممکن است برنامه" smbclt "به دلیل سرریز شدن بافر استک یا سرریز بافر heap، بسته به مدت زمان مشخص شدن نام یک سرور، کرش کند".

به کاربران Pulse Secure توصیه می شود که نسخه PCS Server 9.1R.11.5 را در مورد استفاده قرار دهند. در این میان، Ivanti یک فایل برای حل این مشکل ('Workaround-2105.xml') منتشر کرده است که می تواند با افزودن نقاط انتهایی URL آسیب پذیر به لیست مسدود شده ها، برای غیرفعال کردن ویژگی Windows File Share Browser استفاده شود و بنابراین برای محافظت در برابر این آسیب پذیری، اقدامات کاهنده لازم را فعال کند.

takian.ir pulse secure vpn vulnerability 2

 

این نکته حاکی از آن است که کاربرانی که از نسخه های سیستمی 9.1R11.3 یا پایینتر استفاده می کنند، باید فایل دیگری را با نام "Workaround-2104.xml" دریافت و اعمال کنند که این امر مستلزم آن است سیستم نسخه 9.1R11.4 را قبل از اعمال محافظت در "Workaround-2105.xml" اجرا کند.

در حالی که Ivanti توصیه به خاموش کردن جستجوگر فایل ویندوز در اینترفیس کاربری ادمین با غیرفعال کردن گزینه "Files, Windows [sic]" برای رول های کاربر مشخصی کرده است، مرکز هماهنگی CERT مشخص کرده است که در هنگام آزمایش برای محافظت در برابر نقص، انجام این مراحل کافی نیستند.

"نقاط نهایی آسیب پذیری CGI هنوز هم صرف نظر از اینکه نقش کاربر" Files، Windows "فعال باشد یا خیر، از طریق روش هایی قابل دسترسی هستند که باعث کرش کردن برنامه smbclt می شود".

"مهاجم برای دستیابی موفق به کد آسیب پذیر در سرور PCS که دارای پالیسی باز دسترسی به فایل ویندوز است، به یک مقدار معتبر DSID و xsauth از یک کاربر تأیید شده، نیاز دارد".

فاش شدن این نقص جدید هفته ها پس از آن صورت گرفت که شرکت نرم افزاری فناوری اطلاعات مستقر در یوتا، چندین آسیب پذیری امنیتی مهم در محصولات Pulse Connect Secure از جمله CVE-2021-22893، CVE-2021-22894، CVE-2021-22899 و CVE-2021-22900 را اصلاح کرد، که برای اولین مورد مشخص گردید، حداقل در دو عامل تهدید متفاوت از یکدیگر در فضای سایبری مورد بهره برداری قرار گرفته است.

سوء استفاده هکرها از روترهای لبه شبکه

اخبار و گزارش های جدید سایت ها  تحلیلی و پایگاه های خبری حاکی از آن هست که در سال 2018 سوء استفاده از Takian.ir hacking routerروتر های شبکه افزایش یافته است و از روتر های شبکه ها به عنوان یکی از ابزار های اصلی در چرخه حمله  استفاده شده است. از نمونه  های بسیار مهم می توان به حملات گروه هکری  Slingshot APT  اشاره کرد که از  روتر های میکروتیک برای آلوده کردن هاست ها در زیر ساخت سایبری داعش استفاده کرد. البته اینکه آیا از این آسیب پذیری برای کشور های دیگر از جمله ایران استفاده نکرده باشد هنوز مشخص نشده است. نمونه دیگر استفاده Inception Framework APT از روتر های خانگی برای ایجاد شبکه ای از Proxy های تو در تو هست که می توانند خود را پشت آنها پنهان کنند. از نمونه های قدیمی تر می توان به حمله به روتر های سیسکو توسط SYNful Knock اشاره کرد که توسط Fireeye شناسایی شد.  آخرین مثال هم استفاده گروه LuckyMouse APT از روتر ها به عنوان C&C های خود بوده است. 

البته  ما همه می دانیم که این ها مثال های کشف شده از سوء استفاده از تجهیزات روتر می باشد و ممکن است، شاید بهتر است بگوییم به احتمال زیاد، راه کار هایی متعدد کشف یا شناخته نشده ای توسط نفوذگران استفاده می شوند که می توانند ریسک های امنیتی متعددی را برای ما ایجاد کنند.

با توجه به آنچه گفته شد نکات زیر در این مورد قابل توجه است :

  • همواره از آخرین آسیب پذیری های مربوط به تجهیزات خود مطلع باشید و در صورت مشاهده یک آسیب پذیری با درجه اهمیت Critical یا High نسبت استفاده از Workaround اعلام شده اقدام کنید. در صورت نشر سیستم عامل یا Firmware تجهیز نیز در حداقل زمان اقدام کرده و بروز رسانی کنید. حمله به Smart Install شرکت سیسکو در فاصله کمتر از 10 روز نمونه بسیار خوبه از اهمیت سرعت عمل در واکنش ما است. این رصد می تواند توسط CERT یا SOC توسط Feed های موجود یا بررسی های فردی انجام شود.
  • حتما سیستم عامل و Firmware های خود را از سایت معتبر تهیه و قبل از نصب Hash آن را با سایت اصلی مقایسه کنید. سیستم عامل های Backdoor شده یکی از راه های نفوذ اصلی در دسترسی به روتر ها محسوب می شوند.
  • تمام دسترسی های مدیریتی از راه دور به تجهیزات خود را مسدود یا محدود کنید. نمونه این قابلیت ها Control Plane Policy در روتر های سیسکو می باشد. به علاوه ، لاگ های مربوط به دسترسی را ثبت کرده و آن ها را بررسی کنید.
  • در صورت امکان از یک راه کار Packet analyzer یا IPS ( به صورت Passive یا حتی Tap) در مسیر ارتباطی به روتر خود استفاده کنید و تمامی حملات به پروتکل ها یا دسترسی های غیر مجاز به سمت خود تجهیز روتر را رصد کنید و تجهیزات IPS خود را بگونه ای تنظیم کنید که لاگ های مربوط را به سمت SIEM ، ابزار مدیریت لاگ یا هر ابزار دیگری با قابلیت مشابه ارسال کند. 
  • چک لیست های مربوط به Hardening را پیاده سازی کنید و خطاهای تنظیمات را به حداقل برسانید.
  • تغییرات تنظیمات را به صورت مستمر رصد کنید و در صورتی مشاهده تنظیمات مشکوک یا غیر مجاز بلافاصله نسبت به آن واکنش دهید