BeyondTrust Remote Support: неаутентифицированный RCE через загрузку файлов

Неаутентифицированный RCE через загрузку файлов в BeyondTrust Remote Support

Атака позволяет записывать файлы и выполнять код на сервере

Уязвимость в BeyondTrust Remote Support позволяет неаутентифицированному злоумышленнику записывать файлы на устройство и выполнять код от имени пользователя операционной системы. Атака использует общедоступный клиентский порт для начала сеанса поддержки. Для эксплуатации не требуются учетные данные или взаимодействие с пользователем. Уязвимость находится между внутренним маршрутизатором сообщений, ядром и клиентским процессом на стороне устройства thin-scc. Злоумышленник может подменить идентификатор локального маршрутизатора в исходящем сообщении. Маршрутизатор пересылает сообщение, а клиентский процесс принимает подмененный адрес как подтверждение того, что запрос исходит от локального компонента. Это дает злоумышленнику доступ к внутренней службе передачи файлов, включая ее поставщик файловой системы. Исследователи подтвердили возможность записи файлов, а затем использовали эту возможность для загрузки PHP-файла в общедоступный каталог. Запрос этого файла привел к выполнению кода от имени пользователя, обслуживающего сайт. Модуль Metasploit реализует эту цепочку атак для PHP и Unix-систем.

Продукт распределяет трафик и управляет сессиями поддержки

BeyondTrust Remote Support — это решение для удаленной поддержки, которое позволяет ИТ-специалистам подключаться к конечным точкам пользователей для устранения неполадок и оказания помощи. Продукт использует механизм сессий для установления связи между специалистом поддержки и конечным пользователем. Он включает в себя компоненты для маршрутизации сообщений, обработки клиентских подключений и управления файловыми операциями. В контексте уязвимости задействованы внутренний маршрутизатор сообщений, ядро системы и клиентский процесс thin-scc, отвечающий за обработку соединений. Продукт используется организациями для обеспечения удаленной технической поддержки своим клиентам и сотрудникам.

Уязвимы версии 24.1.2 и ниже, патч отсутствует

Исследователи протестировали версию Remote Support 24.1.2, сборка 1524046, ревизия 4208-ddcf90715106aa0c0e19c103f8d2c412af4beff3. На тестовом устройстве были включены общедоступные сеансы через меню проблем и тонкий чат (настройки по умолчанию). Другие затронутые версии и исправленные сборки пока не установлены. Базовая версия Secure Remote Access 7.1.0 для устройства виртуальной машины отличается от версии приложения Remote Support. Атакующий может контролировать содержимое загружаемого файла и путь его назначения, с учетом разрешений файловой системы. Подделка источника также распространяется на операцию отправки файла. Исследователи использовали ее для получения содержимого файла /proc/self/environ, чтобы определить базовый путь установки Remote Support перед загрузкой полезной нагрузки. На протестированном устройстве нативная служба файлов могла записывать данные в корневой каталог PHP-документов. Модуль Metasploit обеспечивает выполнение кода в контексте пользователя msfuser с UID 1000, что подтверждает возможность удаленного выполнения кода без аутентификации от имени пользователя сайта.

Обновиться до 24.1.2.1524046 или установить плагин безопасности

Пользователям BeyondTrust Remote Support необходимо обновить продукт до версии 24.1.2, сборка 1524046, ревизия 4208-ddcf90715106aa0c0e19c103f8d2c412af4beff3 или более поздней. Информация о других затронутых версиях и доступных исправлениях отсутствует. До выхода официального патча рекомендуется применять дополнительные меры безопасности, если обновление невозможно. Необходимо тщательно проверять все входящие соединения и сообщения, особенно те, которые поступают из внешних источников. Особое внимание следует уделить проверке подлинности и целостности данных, передаваемых через службу поддержки. Внедрение дополнительных уровней аутентификации и контроля доступа может снизить риск успешной эксплуатации уязвимости.