Un firewall compromesso apre l’intera flotta e Active Directory
Dream ha collegato a un’operazione con legami cinesi una campagna che, da 19.000 firewall esposti individuati, ha selezionato 240 bersagli e raggiunto il server interno di gestione di un’organizzazione legata al governo statunitense. Da quel server gli attaccanti hanno ottenuto configurazioni e credenziali di tutti i firewall amministrati.
Dopo aver ristretto i bersagli in base alla regione e alla versione di PHP, gli attaccanti hanno usato una catena di due falle PHP e una vulnerabilità di privilege escalation nel kernel Linux. Dream riferisce che la campagna ha installato webshell su 24 dei 25 firewall attaccati. Dal server di gestione, gli attaccanti hanno inoltre raggiunto il servizio LDAP e tentato di creare backdoor in Active Directory.
Per le organizzazioni che espongono appliance di rete basate su PHP e le amministrano da un server centrale, la compromissione di un firewall può quindi esporre credenziali, configurazioni e sistemi di identità. Correggere il dispositivo perimetrale da solo non elimina l’accesso già ottenuto al piano di gestione.
CVSS 7.8 HIGH: in the Linux kernel, the following vulnerability has been resolved:
net: skbuff: preserve shared-frag marker during coalescing
skb_try_coalesce() can attach paged frags from @from to @to. EPSS 10% (96º percentile). Patch Microsoft: CBL-Mariner Releases.
CVSS 9.8 CRITICAL: pHP uses longjmp() for out-of-memory (OOM) errors to exit the current context and abort handling of the request. EPSS 100% (100º percentile).