В хранилище паролей CyberArk обнаружена критическая уязвимость

[Apollon]

You must be registered for see images attach

Исследователи кибербезопасности из фирмы RedTeam Pentesting GmbHобнаружилив решении для управления корпоративными паролями CyberArk Enterprise Password Vault критическую уязвимость, позволяющую злоумышленнику удаленно выполнить произвольный код и получить несанкционированный доступ к системе с привилегиями web-приложения.

Решения для управления корпоративными паролями (EPV) помогают организациям безопасно управлять учетными данными, контролируя пароли учетных записей в широком диапазоне клиентских и серверных операционных систем, коммутаторов и баз данных, защищая их от злоумышленников, а также инсайдеров.

Уязвимость CVE-2018-9843) существует в CyberArk Password Vault Web Access - .NET web-приложении, созданном для удаленного доступа к учетным записям.

Проблема возникает из-за того, что web-сервер не справляется с десериализацией, позволяя злоумышленникам выполнять код на сервере, обрабатывающем десериализованные данные.

По словам исследователей, при входе пользователя в учетную запись, приложение использует REST API для отправки запроса аутентификации на сервер, который включает заголовок авторизации, содержащий сериализованный объект .NET, закодированный в base64.

Данный объект содержит информацию о сеансе пользователя, однако исследователи обнаружили, что «целостность сериализованных данных не защищена».

Так как сервер не проверяет целостность сериализованных данных и не справляется с десериализационными операциями, злоумышленники могут просто манипулировать токенами аутентификации и внедрить вредоносный код в заголовок авторизации.

Исследователи также опубликовали PoC-код для демонстрации эксплуатации уязвимости с помощью инструмента ysoserial.net.

Команда уведомила производителя о проблеме. Предприятиям, использующим CyberArk Password Vault Web Access, настоятельно рекомендуется обновить программное обеспечение до версий 9.9.5, 9.10 или 10.2.

В качестве меры предотвращения эксплутации уязвимости предлагается отключить любой доступ к API в PasswordVault -> WebServices.