وجود چند آسیب‌پذیری در دستگاه‌های NAS شرکت Lenovo

به گزارش کارگروه امنیت سایبربان؛ کارشناسان امنیتی در این زمینه هشدار دادند با بهره‌برداری از یکی از چند آسیب‌پذیری تزریق دستور در سیستم‌عامل‌های دستگاه‌ها، یک مهاجم می‌تواند از راه دور از طریق root shell کنترل کامل دستگاه را به دست گیرد. مهاجم می‌تواند از این طریق اطلاعات شخصی یا اختصاصی ذخیره شده در دستگاه هدف را نابود کند و از آن برای بهره‌برداری از یک شبکه داخلی استفاده کند یا آن را به یک بات‌نت اضافه کند.

دستگاه‌های آسیب‌پذیر شامل هشت مدل (LenovoEMC NAS (PX، نه مدل (Iomega StorCenter  (PX و IX و دستگاه‌های برند Lenovo شامل ix۴-۳۰۰d، ix۲ و EZ Media و Backup Center هستند.
در برخی از دستگاه‌های NAS مدلهای Iomega، Lenovo، LenovoEMS دارای نسخه ۴,۱.۴۰۲.۳۴۶۶۲ و قدیمیتر، قابلیت تغییر گذرواژه برای یک کاربر احرازهویت شده، نیازی به ورود رمزعبور فعلی ندارد. در نتیجه مهاجم میتواند با دسترسی به توکن نشست کاربر، گذرواژه وی را تغییر دهد. این آسیب‌پذیری با شناسه CVE-۲۰۱۸-۹۰۸۲ معرفی شده است.

برای بدست آوردن دسترسی Shell، مهاجم باید از توالی چند آسیب‌پذیری سوء استفاده کند. شروع حمله با فریب یک کاربر NAS احرازهویت شده انجام می‌شود تا وی به یک وبسایت ساخته شده توسط مهاجم مراجعه کند. در ادامه توکن نشست وی به سرقت می‌رود. سپس مهاجم آدرسIP  استاتیک دستگاه را بدست می‌آورد. با داشتن IP، مهاجم می‌تواند حملات جعل درخواست میان‌وب‌گاهی یا CSRF را انجام دهد و با افزایش دسترسی برای خود، دستورات دلخواه را اجرا کند.

Lenovo در روز ۳ آگوست نسبت به وجود نقص‌ها آگاه شده است و در ۲۰ سپتامبر وصله‌های رفع‌کننده آنها را منتشر ساخته است. شناسه آسیب‌پذیری‌ها موارد زیر هستند:

CVE-۲۰۱۸-۹۰۷۴، CVE-۲۰۱۸-۹۰۷۵، CVE-۲۰۱۸-۹۰۷۶، CVE-۲۰۱۸-۹۰۷۷، CVE-۲۰۱۸-۹۰۷۸، CVE-۲۰۱۸-۹۰۷۹، CVE-۲۰۱۸-۹۰۸۰، CVE-۲۰۱۸-۹۰۸۱ و CVE- ۲۰۱۸-۹۰۸۲.

نسخه‌های ۴,۱.۴۰۲.۳۴۶۶۲ و قبل‌تر آسیب‌پذیر هستند و کاربران باید به نسخه‌های ۴.۱.۴۰۴.۳۴۷۱۶ یا بالاتر بروزرسانی کنند. در صورتی که بروزرسانی برای کاربران امکان‌پذیر نباشد، آنها می‌توانند با قطع دسترسی‌های عمومی، استفاده از دستگاه‌ها تنها روی شبکه‌های قابل اعتماد و کلیک روی لینک‌هایی که از منابع معتبر هستند، خطرات را کاهش دهند.