Kritikus hiba a vállalati hálózati infrastruktúrában

Hackerek aktívan kihasználtak egy kritikus operációs rendszer (OS) injection sérülékenységet az Arista VeloCloud Orchestratorban, áll a SecurityWeek jelentésében. A hibát zero-dayként használták ki, ami azt jelenti, hogy a támadók még a javítás elérhetővé válása előtt felfedezték és alkalmazták.

Az Arista VeloCloud Orchestrator az Arista SD-WAN (szoftveresen definiált nagytávolságú hálózat) termékvonalának központi menedzsmentplatformja. A szervezetek ezen keresztül konfigurálják, figyelik és szabályozzák a forgalom áramlását elosztott hálózataikban, egyetlen felügyeleti konzolból kapcsolva össze a fiókirodákat, adatközpontokat és felhőkörnyezeteket. Éppen ez a központi szerep teszi egy ilyen sérülékenységet különösen súlyossá: ha a támadó kompromittálja az orchestratort, potenciálisan rálátást vagy irányítást szerezhet afölött, hogyan irányítják és kezelik a teljes szervezet hálózati forgalmát.

Miért különösen veszélyesek az OS injection sérülékenységek

Az OS injection sérülékenységek lehetővé teszik a támadó számára, hogy tetszőleges operációs rendszer parancsokat illesszen be és hajtson végre azon a szerveren, amelyen a sérülékeny szoftver fut. Gyakorlati értelemben ez azt jelentheti, hogy a hacker a szoftverrel azonos jogosultságokkal futtathat parancsokat, így potenciálisan érzékeny konfigurációs adatokat olvashat ki, további eszközöket telepíthet, vagy mélyebbre hatolhat a hálózatban.

Amikor egy ilyen típusú hiba nem egyetlen végpontban, hanem egy vezénylési vagy menedzsmentplatformban található, a kockázatok jelentősen megnőnek. A menedzsmentkonzolok, mint a VeloCloud Orchestrator, kitüntetett helyet foglalnak el a hálózati architektúrában: minden általuk felügyelt eszköz megbízik bennük. Egy ilyen rendszer elleni sikeres kihasználás nemcsak egyetlen gépet veszélyeztet, hanem a számos telephelyet és felhasználót összekötő hálózati szövet integritását is.

Ez a minta nem korlátozódik az Aristára. A biztonsági kutatók az elmúlt év során folyamatosan követtek nyomon zero-day és aktívan kihasznált sérülékenységeket vállalati hálózati és biztonsági menedzsment eszközökben. Hasonló dinamika játszódott le a FortiClient EMS infostealer kampány során, ahol a támadók fegyverré alakították a Fortinet végpontkezelő szerverének kritikus hibáját, és akkor is, amikor államilag támogatott szereplők vették célba a Palo Alto tűzfalait a PAN-OS egy zero-day hibáján keresztül. A menedzsment- és vezénylési rétegek egyre vonzóbb célpontok, éppen azért, mert egyetlen interfész kompromittálása széles körű hozzáférést biztosíthat a szervezet infrastruktúrájához.

Adatvédelmi szempont: Mi forog valójában kockán

Bár a SecurityWeek jelentése a sérülékenység technikai kihasználására fókuszál, érdemes elgondolkodni azon, mit jelenthet az SD-WAN orchestrator feltörése az adatvédelem szempontjából. Ezek a platformok gyakran rálátással bírnak a forgalmi mintákra, útválasztási szabályokra, valamint az irodák, távoli dolgozók és felhőszolgáltatások közötti kapcsolódásokra. Egy támadó, aki hozzáférést szerez ehhez a réteghez, potenciálisan megfigyelheti a hálózati tevékenység metaadatait, manipulálhatja az útválasztást a forgalom elfogása érdekében, vagy a megvetett lábat arra használhatja, hogy oldalirányban tovább mozogjon érzékenyebb rendszerek, például ügyféladatbázisok vagy belső alkalmazások felé.

Azoknak a vállalkozásoknak, amelyek SD-WAN-ra támaszkodnak a távoli és hibrid munkaerő összekapcsolására, ez emlékeztetőül szolgál, hogy a hálózatmenedzsment eszközök ugyanolyan figyelmet érdemelnek, mint a végpontbiztonsági szoftverek. Egyetlen javítatlan sérülékenység a központi konzolban alááshatja az összes általa felügyelt eszköz védelmét, hasonlóan ahhoz, ahogy egy zero-day a Check Point SmartConsole menedzsment felületében egész felügyelt tűzfalkészleteket sodort veszélybe, nem csupán egyetlen gépet.

Mit jelent ez számodra

Ha a szervezete Arista VeloCloud Orchestratort használ, az elsődleges prioritás annak ellenőrzése, hogy kiadtak-e javítást vagy megoldást, és annak mielőbbi alkalmazása. A zero-day kihasználás azt jelenti, hogy a támadók előnnyel indultak, így az időben történő javítás és a rendszernaplók átvizsgálása szokatlan tevékenységek után egyaránt fontos lépések.

A hétköznapi felhasználók és kisebb szervezetek számára, akik közvetlenül nem kezelnek vállalati SD-WAN infrastruktúrát, a tágabb tanulság a hálózati biztonság összekapcsolt természetéről szól. Az internetszolgáltatója, munkáltatója hálózatát vagy felhőszolgáltatóját kezelő eszközök sérülékenységei közvetve érinthetik adatait akkor is, ha Ön sosem érintkezik a sérülékeny szoftverrel.

Gyakorlati teendők

  • Az Arista VeloCloud Orchestratort futtató IT-csapatok ellenőrizzék a gyártói értesítéseket, és azonnal alkalmazzák a javításokat, amint elérhetők.
  • Vizsgálják át a hálózati naplókat parancsinjektálási kísérletek vagy szokatlan adminisztratív tevékenységek jelei után az orchestrator rendszereken.
  • Korlátozzák a vezénylési platformokhoz való adminisztratív hozzáférést kizárólag azokra, akiknek valóban szükségük van rá, és kényszerítsenek ki erős hitelesítést.
  • Kezeljék a hálózatmenedzsment konzolokat ugyanolyan sürgősséggel a javításkezelés során, mint az ügyféloldali rendszereket, mivel kompromittálódásuk az egész szervezetre átterjedhet.
  • Legyenek naprakészek a hálózati infrastruktúrát érintő zero-day nyilvánosságra hozatalokról, mivel ezek a sérülékenységek egyre gyakrabban célpontjai mind az opportunista, mind a kifinomult fenyegető szereplőknek.

Ahogy ez az Arista VeloCloud Orchestrator sérülékenység is mutatja, azok az eszközök, amelyekben a szervezetek megbíznak hálózataik menedzselésére, maguk válhatnak a támadók belépési pontjává. A folyamatos frissítés és az adminisztratív rendszerek átláthatósága marad a leghatékonyabb védekezés az ilyen zero-day fenyegetésekkel szemben.