0
0
As credenciais codificadas no serviço de matriz de armazenamento Dell Compellent podem permitir que invasores assumam ambientes VMware corporativos para qualquer organização que execute esses dois serviços em colaboração.
O Dell Compellent chegou ao fim de sua vida útil em 2019 e detém menos de 1% do mercado de armazenamento de dados , de acordo com a Enlyft. No entanto, as organizações que ainda usam o armazenamento Dell integrado com ambientes VMware precisam estar cientes do CVE-2023-39250 , uma vulnerabilidade de “alto” impacto que afeta esses sistemas.
Na DEF CON 31 na sexta-feira , Tom Pohl, gerente da equipe de testes de penetração da LMG Security, demonstrará como um invasor dentro de uma rede corporativa pode identificar e decodificar uma chave privada associada ao utilitário de gerenciamento centralizado da VMware por meio do Dell Compellent, permitindo a aquisição total de um Ambiente Vmware.
Mas não é só isso: como a chave é a mesma para todos os clientes da Dell, um comprometimento em uma organização pode se traduzir perfeitamente em um comprometimento em qualquer outra.
Como Pohl coloca, “este é apenas um exemplo real e concreto de como uma chave privada em um software pode levar ao comprometimento total da rede de sua organização”.
Chaves privadas codificadas no Dell Compellent
Ao integrar os dois serviços, a Dell requer credenciais de administrador para VMware vCenter, a plataforma usada para gerenciar ambientes VMware. Mas o software Dell armazena essas credenciais em seus arquivos de configuração .
Pohl só descobriu isso por acidente, enquanto trabalhava com a rede de um cliente. “Quando entrei no dispositivo em questão, pensei: ‘Ei, tem um nome de usuário e uma senha aqui'”, lembra ele.
Pelo menos as credenciais não foram armazenadas em texto não criptografado. Mas Pohl descompilou a classe Java que ele imaginou ser responsável pela descriptografia, descobrindo facilmente uma chave estática AES armazenada no código-fonte.
Depois de um pouco de engenharia reversa usando o CyberChef , “de repente, apareceu uma senha de texto não criptografada. E peguei o nome de usuário e a senha que obtive do software Dell Compellent, fui para o login do vCenter e literalmente loguei e assumiu todo o seu ambiente.”
Não era apenas que Pohl possuía o mesmo acesso de administrador do vCenter que o software Dell, com a capacidade de observar, roubar ou manipular todos os dados contidos nele. Como ele enfatizou em um comunicado à imprensa: “Essa chave é a mesma para TODOS os clientes! Se um criminoso aproveitar essa vulnerabilidade, poderá usá-la contra qualquer um dos clientes da Dell.”
Ainda não há correção para a vulnerabilidade de segurança CVE-2023-39250
Apesar de passar pela janela de divulgação responsável de 90 dias, a LMG Security espera que a Dell lance um patch apenas no outono. O atraso pode ser devido à complexidade de projetar uma correção suficiente, postula Pohl.
Também pode, em parte, ter a ver com o status de fim de vida do Compellent. De acordo com a documentação da Dell , “o direito do cliente de usar o software além do fim da vida útil não obriga a Dell a fornecer suporte contínuo ou manutenção além do fim da vida útil”.
Enquanto isso, as organizações que ainda executam esses sistemas devem “definitivamente fortalecer seus ambientes”, aconselha Pohl. “O usuário padrão não deve ser capaz de se comunicar com uma parte importante da infraestrutura entre sua plataforma de armazenamento e seu vCenter. A rede deve ser segmentada de forma que um usuário mal-intencionado não consiga chegar a esse ponto.”
A Dell observou em uma declaração ao Dark Reading que as empresas podem implementar uma solução alternativa: “A Dell Technologies divulgou instruções para uma solução alternativa completa para lidar com uma vulnerabilidade no produto Dell Storage Compellent Integration Tools for VMware. Os clientes devem revisar o Dell Security Advisory DSA- 2023-282 o mais cedo possível para obter detalhes. A segurança de nossos produtos é uma prioridade máxima e crítica para proteger nossos clientes.”
FONTE: DARKREADING