Openfire и уязвимость, которая не оставляет следов в логах

[mlx]

Несмотря на выпущенные обновления безопасности, тысячи серверов Openfire подвержены активно эксплуатируемой критической уязвимости CVE-2023-32315 (CVSS: 7.5).

Openfire — это популярный открытый чат-сервер (XMPP), основанный на Java и скачанный более 9 млн. раз. Уязвимость позволяет неавторизованному злоумышленнику создавать новые учетные записи администратора и загружать вредоносные плагины.

В мае 2023 года было обнаружено, что версии Openfire, начиная с 3.10.0 (апрель 2015 года), подвержены уязвимости обхода аутентификации . Разработчики выпустили несколько обновлений безопасности (версии 4.6.8, 4.7.5 и 4.8.0). Тем не менее, в июне уже появились сообщения о том, что уязвимость активно эксплуатируется на не обновлённых серверах. Компания VulnCheck отметила , что множество администраторов серверов не торопятся устанавливать обновления. По данным VulnCheck, около 3000 серверов все еще остаются уязвимыми. На данный момент существует 6324 сервера Openfire с открытым доступом к интернету, из которых половина (3162 сервера) все еще подвергаются риску заражения из-за использования устаревших версий программного обеспечения.

Кроме того, отчет VulnCheck выявил новый, более скрытный метод эксплуатации уязвимости. В отличие от существующих методов, которые легко обнаруживаются в журналах аудита, новый метод позволяет злоумышленникам загружать вредоносные плагины, минуя процесс создания учетной записи администратора, что делает атаку менее заметной. Уязвимость уже активно эксплуатируется в реальных условиях (In The Wild, ITW), в том числе для установки криптомайнера Kinsing. Появление нового метода эксплуатации может вызвать вторую волну атак, которая будет еще более мощной и опасной.

Администраторам серверов Openfire настоятельно рекомендуется как можно скорее обновить системы до защищенных версий, чтобы предотвратить возможные кибератаки и утечку конфиденциальной информации.

 

[baykal]

Специалисты VulnCheck предупредили, что более 3000 серверов Openfire все еще уязвимы перед проблемой CVE-2023-32315, обнаруженной в мае текущего года. Эксплуатация этой уязвимости типа path traversal позволяет неаутентифицированному пользователю создавать новые учетные записи администратора.

Еще в конце мая стало известно, что уязвимость влияет на все версии Openfire, начиная с версии 3.10.0, выпущенной в апреле 2015 года, и заканчивая новейшими версиями. Проблему исправили в Openfire 4.7.5 и 4.6.8.

Невзирая на выход патчей, уже в июне ИБ-специалисты сообщали (1, 2), что уязвимость массово используется для атак и загрузки вредоносных плагинов на непропатченные серверы.
Как теперь объясняют специалисты VulnCheck, проблема в том, что сообщество OpenFire не спешит устанавливать вышедшие обновления, и более 3000 серверов все еще остаются уязвимыми.
По информации экспертов, поиск с помощью Shodan выявил 6324 сервера Openfire, доступных через интернет, из которых около 50% (3162 сервера) по-прежнему остаются уязвимыми перед CVE-2023-32315 из-за использования устаревших версий ПО.

Лишь 20% пользователей установили вышедшие патчи, 25% используют совсем старые версии, предшествующие версии 3.10.0, когда в ПО появилась уязвимость, и еще 5% используют опенсорсные версии проекта, которые не обязательно уязвимы перед этой проблемой.

Исследователи отмечают, что доступные в настоящее время эксплоиты для CVE-2023-32315 основаны на создании пользователя с правами администратора, что позволяет злоумышленникам загружать вредоносные Java JAR плагины, создавать реверс-шеллы и выполнять команды на взломанных серверах.

В качестве реального примера эксплуатации проблемы приводится майнинговый ботнет Kinsing, который использует уязвимость для установки кастомного плагина Openfire и создания реверс-шеллов.
Однако существующие эксплоиты для создания новых пользователей с правами администратора являются весьма заметными, то есть такие атаки легко обнаружить в логах и не только. Но в отчете VulnCheck показан и другой, более скрытный метод использования бага, который не требует создания новых учетных записей и не оставляет следов в логах.

В своем примере аналитики демонстрируют способ извлечения токена JSESSIONID и CSRF путем прямого доступа к plugin-admin.jsp и последующую загрузку плагина JAR через POST-запрос.


В результате плагин устанавливается на уязвимый сервер, а доступ к его веб-шеллу можно получить без учетной записи администратора.

 

[matadorro]

Учтем

 

[zoneofwar]

Давайте решайте проблему.