Компания Nokia исправила пять уязвимостей в системе Nokia NetAct, обнаруженных экспертами Positive Technologies Владимиром Разовым и Александром Устиновым. Это ПО используют более 500 провайдеров связи для мониторинга и управления телекоммуникационными сетями, базовыми станциями и другими системами. По данным РБК, на долю Nokia в России приходится примерно 20–25% от всего установленного оборудования. На мировом рынке Nokia занимает долю 9%. Производитель был уведомлен об угрозе в рамках политики ответственного разглашения и исправил уязвимости в новой версии ПО.
«Используя обнаруженные уязвимости (выполняя XXE-инъекцию[1] или подделку запроса на стороне сервера (SSRF)), злоумышленник потенциально мог достаточно далеко продвинуться в инфраструктуре провайдера и нанести значительный урон, вплоть до вывода из строя некоторых компонентов. Однако сложно сказать, могло ли это отразиться непосредственно на клиентах провайдера», — отметили эксперты Positive Technologies, нашедшие уязвимости.
Наиболее серьезными были две XXE-уязвимости (CVE-2023-26057 (BDU:2023-01307) и CVE-2023-26058 (BDU:2023-01306)), получившие одинаковую оценку в 5,8 баллов по шкале CVSS v3. Они позволяли атакующим, имеющим авторизованный доступ в приложение, импортировать XML-файлы на страницах веб-интерфейса Nokia NetAct, при этом парсер[2] некорректно обрабатывал внешние сущности, которые есть в этом XML-файле. С помощью внешних сущностей можно считывать данные с файловой системы, а также отправлять запросы от имени компьютера, на котором установлен NetAct. Проблемы были связаны с отсутствием проверки входных данных и неправильной конфигурацией парсеров XML.
Три другие уязвимости получили оценку 5,0. Используя их, злоумышленники могли применять межсайтовое выполнение сценария (XSS), эксплуатируя недостаточную проверку ввода определенных данных в интерфейсе NetAct (CVE-2023-26061 (BDU:2023-01303)) или возможность загрузки ZIP-файла с определенными параметрами без проверки его содержимого (CVE-2023-26059 (BDU:2023-01305)). Еще одна уязвимость, CVE-2023-26060 (BDU:2023-01304), позволяла преступникам осуществлять внедрение шаблонных выражений (Cross-Site Template Injection, CSTI).
Уязвимости были выявлены в NetAct 20 и NetAct 22. Пользователям рекомендуется установить исправленную версию системы — NetAct 22 FP2211 или более новую.
Для обнаружения или блокировки атак, эксплуатирующих описанные уязвимости, компании могут использовать межсетевой экран уровня веб-приложений, продукты для защиты конечных точек (EDR, XDR) и системы анализа сетевого трафика (NTA).
[1] Внедрение внешних сущностей XML; эксплуатация дефекта безопасности, связанного с недостаточной проверкой входящего XML-файла в приложении. Входит в перечень угроз OWASP Top 10 .
[2] Программа, которая извлекает из исходного файла данные и сохраняет или использует их для последующих действий. Встроенный XML-парсер имеют все современные браузеры.
Актуальные вакансии по ИБ: https://cisoclub.ru/vacancy/. Отправить резюме во все популярные IT-компании: https://cisoclub.ru/jobmail/
Больше интересного материала на cisoclub.ru. Подписывайтесь на нас: VK | Twitter | Rutube | Telegram | Дзен | YouTube.