Κυκλοφόρησε PoC exploit για κρίσιμη ευπάθεια στο Progress WhatsUp Gold

Αυτή τη στιγμή, κυκλοφορεί στο διαδίκτυο ένα proof-of-concept (PoC) exploit για μια κρίσιμη ευπάθεια στο Progress WhatsUp Gold, που επιτρέπει την απομακρυσμένη εκτέλεση κώδικα. Ως αποτέλεσμα, η άμεση εγκατάσταση των πιο πρόσφατων ενημερώσεων ασφαλείας κρίνεται απαραίτητη.

Η ευπάθεια παρακολουθείται ως CVE-2024-8785 (βαθμολογία CVSS v3.1: 9,8/10) και ανακαλύφθηκε από την Tenable στα μέσα Αυγούστου 2024. Εντοπίζεται στο NmAPI.exe process από την έκδοση 2023.1.0 του WhatsUp Gold και πριν από τις εκδόσεις 24.0. 1.

Πώς επηρεάζεται το Windows Registry;

Κατά την εκκίνηση, το NmAPI.exe παρέχει ένα network management API interface για το WhatsUp Gold.

Δείτε επίσης: Η Veeam διορθώνει ευπάθειες στο Service Provider Console (VSPC)

Λόγω της ανεπαρκούς επικύρωσης των εισερχόμενων δεδομένων, οι εισβολείς θα μπορούσαν να στείλουν ειδικά κατασκευασμένα αιτήματα για να τροποποιήσουν ή να αντικαταστήσουν ευαίσθητα Windows registry keys που ελέγχουν από πού διαβάζονται τα αρχεία διαμόρφωσης WhatsUp Gold.

“Ένας απομακρυσμένος μη εξουσιοδοτημένος εισβολέας μπορεί να επικαλεστεί τη λειτουργία UpdateFailoverRegistryValues μέσω ενός netTcpBinding στο net.tcp://:9643“, αναφέρει η Tenable.

“Μέσω της λειτουργίας UpdateFailoverRegistryValues, ο εισβολέας μπορεί να αλλάξει ένα υπάρχον registry value ή να δημιουργήσει ένα νέο για οποιοδήποτε registry path στο HKEY_LOCAL_MACHINE\SOFTWARE\WOW6432Node\Ipswitch\”.

“Συγκεκριμένα, ο εισβολέας μπορεί να αλλάξει το HKEY_LOCAL_MACHINE\SOFTWARE\WOW6432Node\Ipswitch\Network Monitor\WhatsUp Gold\Setup\InstallDir σε ένα UNC path που δείχνει σε έναν κεντρικό υπολογιστή που ελέγχεται από τον εισβολέα (π.χ. \\share\WhatsUp)“.

Δείτε επίσης: Ευπάθειες Salesforce επιτρέπουν κατάληψη λογαριασμών

Μόλις γίνει επανεκκίνηση της υπηρεσίας Ipswitch Service Control Manager, θα διαβάσει διάφορα αρχεία διαμόρφωσης από το remote share που ελέγχεται από τον εισβολέα, το οποίο μπορεί να χρησιμοποιηθεί για την εκκίνηση οποιουδήποτε απομακρυσμένου εκτελέσιμου αρχείου στο ευάλωτο σύστημα WhatsUp Gold.

Η εκμετάλλευση της ευπάθειας CVE-2024-8785 στο Progress WhatsUp Gold δεν απαιτεί έλεγχο ταυτότητας και δεδομένου ότι η υπηρεσία NmAPI.exe είναι προσβάσιμη μέσω του δικτύου, ο κίνδυνος είναι μεγάλος.

Ενημερώστε άμεσα το WhatsUp Gold

Οι διαχειριστές συστήματος θα πρέπει να αναβαθμίσουν το Progress WhatsUp Gold στην έκδοση 24.0.1 το συντομότερο δυνατό. Οι ενημερώσεις για την εν λόγω ευπάθεια (και για άλλες πέντε) είναι διαθέσιμες ήδη από τις 24 Σεπτεμβρίου 2024.

Δείτε επίσης: Η Cisco προειδοποιεί για επιθέσεις που εκμεταλλεύονται ευπάθεια ASA

Extra μέτρα προστασίας συστημάτων:

• Ελέγχετε τακτικά τα αρχεία καταγραφής και παρακολουθήστε τη δραστηριότητα του δικτύου: Αυτό μπορεί να σας βοηθήσει να εντοπίσετε οποιαδήποτε ύποπτη ή μη εξουσιοδοτημένη δραστηριότητα στο δίκτυο.

• Χρησιμοποιήστε έλεγχο ταυτότητας δύο παραγόντων: Απαιτώντας μια πρόσθετη μέθοδο ελέγχου ταυτότητας πέρα από έναν κωδικό πρόσβασης, μπορείτε να αυξήσετε την ασφάλεια των λογαριασμών σας.

• Εφαρμόστε μια ισχυρή πολιτική κωδικών πρόσβασης: Ενθαρρύνετε τους υπαλλήλους να χρησιμοποιούν μοναδικούς και σύνθετους κωδικούς πρόσβασης για τους λογαριασμούς τους.

• Χρησιμοποιήστε ισχυρή κρυπτογράφηση: Η κρυπτογράφηση ευαίσθητων δεδομένων μπορεί να αποτρέψει την εύκολη πρόσβαση σε αυτά από μη εξουσιοδοτημένα μέρη.

• Διατηρήστε το λογισμικό ενημερωμένο: Εκτός από τις ενημερώσεις ασφαλείας, η τακτική ενημέρωση του λογισμικού μπορεί επίσης να αντιμετωπίσει τυχόν σφάλματα ή ευπάθειες που θα μπορούσαν ενδεχομένως να αποτελέσουν αντικείμενο εκμετάλλευσης.

• Πραγματοποιήστε τακτική εκπαίδευση σε θέματα ασφάλειας: Η εκπαίδευση των εργαζομένων σχετικά με τις πιο πρόσφατες τακτικές που χρησιμοποιούνται από τους εγκληματίες του κυβερνοχώρου και η διδασκαλία τους πώς να εντοπίζουν πιθανές απειλές μπορεί να μειώσει σημαντικά τον κίνδυνο επιτυχημένων επιθέσεων.

• Εφαρμόστε ένα σχέδιο αποκατάστασης από καταστροφές: Σε περίπτωση κυβερνοεπίθεσης, η εφαρμογή ενός σχεδίου για γρήγορη ανάκτηση συστημάτων και δεδομένων μπορεί να ελαχιστοποιήσει το χρόνο διακοπής λειτουργίας και να μετριάσει τον αντίκτυπο στις λειτουργίες.

• Δημιουργήστε τακτικά αντίγραφα ασφαλείας: Σε περίπτωση απώλειας δεδομένων, η λήψη πρόσφατων αντιγράφων ασφαλείας μπορεί να βοηθήσει στην αποκατάσταση σημαντικών πληροφοριών και στην αποφυγή σημαντικών διαταραχών στις επιχειρηματικές λειτουργίες.

• Χρησιμοποιήστε τείχη προστασίας και τμηματοποίηση δικτύου: Τα τείχη προστασίας μπορούν να εμποδίσουν τη μη εξουσιοδοτημένη πρόσβαση στο δίκτυο, ενώ η τμηματοποίηση δικτύων μπορεί να περιορίσει την ικανότητα του εισβολέα να κινείται μέσα στο σύστημα.

• Μείνετε ενημερωμένοι για τις αναδυόμενες απειλές: Η ενημέρωση για τα πιο πρόσφατα νέα στον τομέα της κυβερνοασφάλειας μπορεί να βοηθήσει τους οργανισμούς να παραμείνουν μπροστά από πιθανές επιθέσεις και να λάβουν τα κατάλληλα μέτρα για την προστασία των συστημάτων τους.

Πηγή: www.bleepingcomputer.com