В ХРАНИЛИЩЕ ПАРОЛЕЙ CYBERARK ОБНАРУЖЕНА КРИТИЧЕСКАЯ УЯЗВИМОСТЬ
Проблема возникает из-за того, что web-сервер не справляется с десериализацией.
Исследователи кибербезопасности из фирмы RedTeam Pentesting GmbH обнаружили в решении для управления корпоративными паролями CyberArk Enterprise Password Vault критическую уязвимость, позволяющую злоумышленнику удаленно выполнить произвольный код и получить несанкционированный доступ к системе с привилегиями web-приложения.
Решения для управления корпоративными паролями (EPV) помогают организациям безопасно управлять учетными данными, контролируя пароли учетных записей в широком диапазоне клиентских и серверных операционных систем, коммутаторов и баз данных, защищая их от злоумышленников, а также инсайдеров.
Уязвимость CVE-2018-9843) существует в CyberArk Password Vault Web Access — .NET web-приложении, созданном для удаленного доступа к учетным записям.
Проблема возникает из-за того, что web-сервер не справляется с десериализацией, позволяя злоумышленникам выполнять код на сервере, обрабатывающем десериализованные данные.
По словам исследователей, при входе пользователя в учетную запись, приложение использует REST API для отправки запроса аутентификации на сервер, который включает заголовок авторизации, содержащий сериализованный объект .NET, закодированный в base64.
Данный объект содержит информацию о сеансе пользователя, однако исследователи обнаружили, что «целостность сериализованных данных не защищена».
Так как сервер не проверяет целостность сериализованных данных и не справляется с десериализационными операциями, злоумышленники могут просто манипулировать токенами аутентификации и внедрить вредоносный код в заголовок авторизации.
Исследователи также опубликовали PoC-код для демонстрации эксплуатации уязвимости с помощью инструмента ysoserial.net.
Команда уведомила производителя о проблеме. Предприятиям, использующим CyberArk Password Vault Web Access, настоятельно рекомендуется обновить программное обеспечение до версий 9.9.5, 9.10 или 10.2.
В качестве меры предотвращения эксплутации уязвимости предлагается отключить любой доступ к API в PasswordVault -> WebServices.
