LAM’ın Sessizliği
Bir dahili sızma testi sırasında LDAP Hesap Yöneticisi’nde (LAM) kimliği doğrulanmamış bir rastgele nesne başlatma güvenlik açığı keşfedildi.
LAM, kullanıcı dostu bir web ön ucu aracılığıyla LDAP dizinlerindeki kullanıcılar, gruplar veya DHCP ayarları gibi girişleri yönetmek için kullanılan bir PHP web uygulamasıdır ve FreeIPA’nın alternatiflerinden biridir. Debian depolarında bulunur.
Ancak araştırmacı Arseniy Sharoglazov tarafından keşfedilen bir güvenlik açığı, bir saldırganın herhangi bir bant dışı bağlantı olmadan tek bir istekte rastgele nesneler oluşturmasına ve uzaktan kod yürütme (RCE) gerçekleştirmesine izin verebilir.
Yapım halinde
Teknik, nesnenin oluşturulacağı sınıf adını temsil eden değişkenle ve nesnenin yapıcısına iletilecek ilk argümanı temsil eden değişkenle, yapıdan yararlanmaya bağlıdır.
“Herhangi bir programlama dilinde kod yazarken, iyi veya kötü programlama uygulamalarını kullanabilirsiniz. Sharoglazov, keyfi nesneleri somutlaştıran yeni inşaatın kullanımı, eğer kontrol edilmeyen bir girdiden geliyorsa kötü bir uygulamadır, ”diyor Sharoglazov Günlük Swig.
“Tehlikeli bir yapı. Ancak kimse bunun gerçekten tehlikeli olduğunu göstermedi, bu yüzden bazı insanlar her şeyin yolunda olması gerektiğini düşünüyor.”
Teknik, Imagick uzantısını gerektirse de, bunun genellikle LAM sisteminin kendisi de dahil olmak üzere daha büyük web sitelerinde bulunduğunu söylüyor.
En son bilgi güvenliği araştırma haberlerinin devamını okuyun
Sharoglazov, benzer rasgele nesne başlatma güvenlik açıklarının bir süredir var olduğunu, ancak genellikle bu şekilde bildirilmediğini söylüyor.
“Örneğin, ticari bir yazılımda bir SSRF hakkında bilgi edinebilirsiniz. PoC’yi bilseydiniz, bunun aslında örneğin SoapClient sınıfının kullanımıyla rastgele bir nesne somutlaştırması olduğunu görürdünüz. Ama halk için sadece SSRF olacak” diyor.
“Ya da bir SQL enjeksiyonu hakkında bilgi edinebilirsiniz. Ama aslında bu, SQL enjeksiyonuna sahip kullanıcı tanımlı bir sınıf aracılığıyla sömürülen isteğe bağlı bir nesne başlatmadır. Bulduğum ve tanımladığım bu teknik, rastgele bir nesne örneğinin doğrudan RCE’ye nasıl kullanılacağını gösteriyor.”
koordineli açıklama
Sharoglazov, açıklama sürecinin hızlı ve verimli geçtiğini söyledi. İlk olarak kusuru 16 Haziran’da bildirdi, LAM 8.0.1 29 Haziran’da yayınlandı, Debian paketleri 5 Temmuz’da güncellendi ve 14 Temmuz’da kamuya açıklama yapıldı.
“LAM’ın geliştiricisi Roland Gruber’e yazdım ve sadece bir saat içinde ilk yanıt aldım” diyor.
Güvenlik açıklarını gidermek için yapılması gerekenleri ve LAM’ı çok daha güvenli hale getirecek sertleştirme sürecini tartıştık. Daha sonra onunla ve Debian’la koordineli bir açıklama yaptık.”
ÖNERİLEN Microsoft Teams güvenlik açığı, kullanıcıları kusurlu çıkartmalar özelliği aracılığıyla XSS’ye açık bıraktı