GFI Software’in popüler bir UTM çözümü olan Kerio Control’ün, 9.2.5’ten 9.4.5’e kadar olan sürümleri etkileyen birden fazla HTTP Yanıt Bölme güvenlik açığına karşı savunmasız olduğu tespit edildi; bu güvenlik açığı, potansiyel olarak saldırganların web sayfalarına kötü amaçlı kod yerleştirmesine izin vererek siteler arası saldırılara yol açabilir. komut dosyası oluşturma (XSS) saldırıları ve diğer güvenlik açıkları.
CVE-2024-52875 ve KIS-2024-07 olarak takip edilen güvenlik açıkları, yazılımı güncel tutmanın ve güvenlik yamalarını derhal uygulamanın önemini vurguluyor.
Savunmasız Kerio Kontrol sayfaları `/nonauth/addCertException.cs`, `/nonauth/guestConfirm.cs` ve `/nonauth/expiration.cs`, `Location` HTTP’sini oluşturmadan önce kullanıcı tarafından sağlanan `dest` GET parametrelerini düzgün şekilde temizleyemiyor saldırganların yeni satır karakterleri içeren kötü amaçlı URL’ler eklemesine olanak tanıyarak HTTP Yanıt Bölme saldırılarına yol açar.
Saldırganlar, bu güvenlik açığından dokuz yıldır bilinen bir istismarla birlikte yararlanarak, etkilenen sistemde kullanıcı etkileşimini atlayarak ve riski yüksek önem düzeyine çıkararak isteğe bağlı kod çalıştırabilir.
API güvenlik açığı ve Sızma Testi için En İyi Uygulamalar Konulu Ücretsiz Web Semineri: Ücretsiz Kayıt
CRLF Injection güvenlik açığının temel nedeni, “dest” GET parametresinin hatalı işlenmesinde yatmaktadır.
Kötü niyetli bir kullanıcı, CRLF dizileri içeren, özel olarak biçimlendirilmiş bir “hedef” değerine sahip hazırlanmış bir istek gönderdiğinde, sunucu, girişi temizleyemez veya düzgün şekilde kodlayamaz.
Saldırganın yanıta kötü amaçlı HTTP üstbilgileri eklemesine olanak tanır ve bu da potansiyel olarak oturumun ele geçirilmesine, siteler arası komut dosyası çalıştırmaya (XSS) veya diğer güvenlik ihlallerine yol açabilir.
Karmain Security, sunucu yanıtında “μë-” dizisinin varlığını tespit etti; bu, Base64 kodlu URL’lerin beklenebileceğini düşündürdü ve bunu rastgele bir URL’yi kodlayarak test etti (“[http://attacker.website](http://attacker.website)”) Base64’te kullandı ve bunu GET isteğindeki “dest” parametresinin değeri olarak kullandı.
Sunucu, şüpheyi doğrulayan bir 302 Bulundu durum kodu ve kodu çözülmüş URL’yi içeren bir Konum başlığıyla yanıt verdi; bu, sunucunun yeniden yönlendirme için Base64 kodlu URL’leri beklediği bir güvenlik açığını gösterir.
Bir araştırmacı Kerio Control’deki bir güvenlik açığından başarıyla yararlandı.
Veri yüküne CRLF dizileri enjekte ederek, giriş doğrulamasını atlamayı ve HTTP yanıtlarını manipüle etmeyi başardılar; bu da rastgele HTTP başlıklarının enjeksiyonuna izin vererek potansiyel olarak HTTP Yanıt Bölme saldırılarına yol açtı.
Güvenlik açığı, CRLF dizilerinin uygun şekilde filtrelenmemesi veya kaldırılmamasından kaynaklanıyor; saldırganların kötü niyetli yanıtlar oluşturmasına ve potansiyel olarak etkilenen sistemin güvenliğini tehlikeye atmasına olanak tanıyor.
Kerio Control’de Yansıtılmış XSS saldırılarına izin veren bir HTTP Yanıt Bölme güvenlik açığı.
Araştırmacı, özel bir veri yükü oluşturarak ve tarayıcı davranışından yararlanarak, CSRF belirtecini çalmak ve üzerinde eylemler gerçekleştirmek için bir iframe kullanarak çerezler için /admin/ yolu tarafından belirlenen sınırlamaları atlayan HTTP yanıt gövdesine rastgele veriler enjekte edebildi. kurban adına.
Yükseltme işlevi aracılığıyla 9 yıllık bir uzaktan kod yürütme (RCE) istismarı tespit edildi ve Kerio Control örneğinin tamamen ele geçirilmesi için XSS saldırısıyla birleştirildi.
ANY.RUN ile Gerçek Dünyadaki Kötü Amaçlı Bağlantıları, Kötü Amaçlı Yazılımları ve Kimlik Avı Saldırılarını Araştırın – Ücretsiz Deneyin