Уязвимость Garrett iC Module позволяет влиять на детектор в пункте досмотра

Уязвимость Garrett iC Module позволяет влиять на детектор в пункте досмотра

Уязвимость Garrett iC Module позволяет влиять на детектор в пункте досмотра

В модуле управления стационарными металлодетекторами Garrett выявлены уязвимости, грозящие взломом и изменением настроек. Пропатченные варианты прошивок iC Module CMA уже доступны, пользователям рекомендуется их установить.

Техасская компания Garrett Electronics ведет деловые операции более чем в 100 странах. Ее арочные металлодетекторы установлены на стадионах, в аэропортах, школах, больницах и правительственных учреждениях.

Модуль iC, предназначенный для использования с металлоискателями PD 6500i и MZ 6100, предоставляет сетевой доступ к таким устройствам, позволяя осуществлять управление, мониторинг в реальном времени и диагностику с удаленного рабочего места (ноутбука или ПК). Все изменения настроек, история проходов посетителей, сигналы неисправности при этом записываются в память девайса.

Множественные уязвимости в iC Module CMA версии 5 обнаружили исследователи из Cisco Talos; три проблемы признаны критическими. Вендор получил соответствующее уведомление в августе и выпустил патчи 13 декабря.

«Возможность манипулирования модулем позволяет удаленно отслеживать статистику по металлодетекторам, такую как количество проходов и сигналов тревоги, — пишут эксперты в блоге. — Можно также изменить настройки — например, уровень чувствительности детектора, повысив риски для пользователей, полагающихся на эти средства безопасности».

Список выявленных уязвимостей:

  • CVE-2021-21901, CVE-2021-21903, CVE-2021-21905, CVE-2021-21906 (9,8 и 8,2 балла CVSS) — переполнение буфера в стеке; позволяет без аутентификации выполнить вредоносный код путем отправки на устройство особого пакета;
  • CVE-2021-21904, CVE-2021-21907, CVE-2021-21908, CVE-2021-21909 (9,1; 4,9; 6,0 балла) — выход за пределы рабочего каталога; позволяет при минимальном наборе прав просматривать, перезаписывать и удалять файлы на устройстве;
  • CVE-2021-21902 (7,5 балла) — состояние гонки в ходе аутентификации утилиты командной строки; позволяет угнать сессию пользователя.

Эксплойт во всех случаях требует доступа к сети, используемой уязвимым устройством, так что массовые атаки, по мнению экспертов, маловероятны. Пробный поиск доступных из интернета устройств Garrett результатов не дал.

AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

Две уязвимости в ksmbd Linux позволяют получить root через SMB

Без лишней мистики: исследователь в области кибербезопасности BitsByWill подробно разобрал две критические уязвимости в ksmbd — встроенном в ядро Linux SMB-сервере. Речь о CVE-2023-52440 и CVE-2023-4130 — и самое неприятное, что они отлично склеиваются в рабочую эксплойт-цепочку.

Первая уязвимость, CVE-2023-52440, описывается как контролируемое SLUB-переполнение в функции ksmbd_decode_ntlmssp_auth_blob().

Как пишет BitsByWill, длина sess_key_len контролируется пользователем, и при определённой подаче данных можно переполнить фиксированный буфер sess_key во время вызова cifs_arc4_crypt. Проще говоря — достаточно модифицировать одну строку в ntlm-клиентской библиотеке (в примере — Impacket), чтобы сгенерировать специально подготовленное NTLM-сообщение и получить неаутентифицированное удалённое переполнение буфера с контролем размера и содержимого.

Вторая уязвимость, CVE-2023-4130, — это чтение за пределами буфера (OOB read) в smb2_set_ea(). Из-за плохой проверки расширенных атрибутов (EA) злоумышленник с правом записи на шаре может заставить ksmbd неправильно интерпретировать структуру и считать дополнительные записи. В результате соседние данные кучи попадают в xattr, откуда их можно извлечь через SMB3 queryInfo. То есть брешь позволяет вытянуть части памяти ядра и, например, сломать KASLR.

И вот где всё становится опасно: переполнение даёт запись, чтение даёт утечку. Связав CVE-2023-52440 и CVE-2023-4130, BitsByWill показал рабочий путь до реального ROP-эксплойта.

Для демонстрации потребовались учётные данные пользователя с правом записи на шару, поэтому исследователь пишет о 0-click с аутентификацией — формулировка спорная, но смысл понятен: если админ разрешил анонимную запись в шаре, шанс эксплуатации становится ещё выше.

Авторы анализа подчёркивают практические сценарии: модификация таблиц страниц для произвольного чтения/записи, вынимание секретов из соседних процессов или подготовка ROP-цепочки для исполнения кода в контексте ядра. Всё это — классика эскалации привилегий, но в данном случае — прямо через SMB-интерфейс ядра.

Патчи уже вышли, и производители/поддерживающие дистрибутивы закрывали эти баги, но реальная угроза — не только в уязвимом коде, а в конфигурациях и устаревших системах. Как обычно, напомним: открытые для записи шар-ресурсы, устаревшее ПО и несвоевременное обновление — идеальная среда для подобных атак.

AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

RSS: Новости на портале Anti-Malware.ru