BT hizmet yönetimi yazılım platformu ConnectWise, Recover ve R1Soft Server Backup Manager’da (SBM) kritik bir güvenlik açığı için Yazılım yamaları yayınladı.
“Bir Alt Bileşen Tarafından Kullanılan Çıktıdaki Özel Öğelerin nötralizasyonu” olarak nitelendirilen sorun, uzaktan kodun yürütülmesine veya hassas bilgilerin ifşa edilmesine neden olacak şekilde kötüye kullanılabilir.
ConnectWise’ın danışma belgesi, kusurun Recover v2.9.7 ve önceki sürümlerinin yanı sıra R1Soft SBM v6.16.3 ve önceki sürümleri etkilediğini, kritik kusurdan etkilendiğini not eder.
Özünde, sorun, başlangıçta Mayıs 2022’de yamalanan ZK açık kaynaklı Ajax web uygulaması çerçevesindeki (CVE-2022-36537) yukarı akış kimlik doğrulamasını atlama güvenlik açığına bağlıdır.
Şirket, “Etkilenen ConnectWise Recover SBM’leri, Recover’ın (v2.9.9) en son sürümüne otomatik olarak güncellendi” diyerek, müşterileri 28 Ekim 2022’de sevk edilen SBM v6.16.4’e yükseltmeye çağırdı.
Siber güvenlik firması Huntress, şirketleri potansiyel olarak tedarik zinciri risklerine maruz bırakan “5.000’den fazla açıkta kalan sunucu yöneticisi yedekleme örneği” belirlediğini söyledi.
Vahşi doğada güvenlik açığından aktif olarak yararlanıldığına dair bir kanıt bulunmamakla birlikte, Huntress araştırmacıları John Hammond ve Caleb Stewart tarafından geliştirilen bir kavram kanıtı, bunun kimlik doğrulamasını atlamak, SBM’de uzaktan kod yürütme elde etmek ve LockBit’i zorlamak için kötüye kullanılabileceğini gösteriyor. Tüm aşağı akış uç noktalarına 3.0 fidye yazılımı.
Araştırmacılar, “Yukarı akış ZK güvenlik açığının yalnızca R1Soft’u değil, aynı zamanda ZK çerçevesinin yamasız bir sürümünü kullanan herhangi bir uygulamayı da etkilediğini belirtmek önemlidir.” Dedi.
“Bir saldırganın bu kimlik doğrulama atlama güvenlik açığını kullanarak elde edebileceği erişim, istismar edilen uygulamaya özeldir, ancak diğer uygulamaların R1Soft Server Backup Manager’a benzer şekilde etkilenmesi için ciddi bir potansiyel vardır.”