Experts Released Poc Exploit For Critical Progress Software Openedge Bug
2024/03/11 SecurityAffairs — Progress Software OpenEdge Authentication Gateway／AdminServer の脆弱性 CVE-2024-1403 の、技術的詳細と PoC エクスプロイト・コードが、Horizon3.ai の研究者たちにより公開された。その一方で、Progress のアドバイザリには、「先日に Progress OpenEdge チームは、OpenEdge Release 11.7.18 以下／OpenEdge 12.2.13 以下／OpenEdge 12.8.0 のセキュリティ脆弱性を発見した。我々は OpenEdge LTS Update 11.7.19／12.2.14／12.8.1 でアップデートを行い、この脆弱性に対処した」と記されている。
Progress のアドバイザリには、「現行の OpenEdge Authentication Gateway (OEAG) が、ユーザー ID とパスワードによるログインを許可するために、OS のローカル認証プロバイダーを用いる OpenEdge Domain でコンフィグされている場合に、この脆弱性が生じる。この認証ルーチンの脆弱性の悪用に成功した攻撃者は、不正アクセスを行う可能性がある。同様に、AdminServer 接続が OpenEdge Explorer (OEE)／OpenEdge Management (OEM) で行われる場合にも、 上記と同じ理由から、不正ログインが生じる可能性がある」と詳述されている。
この認証バイパスの脆弱性 CVE-2024-1403 (CVSS：10.0) は、OpenEdge 11.7.18 以下／12.2.13 以下/12.8.0 に影響を与える。
この脆弱性の分析調査を行った、Horizon3.ai の研究者たちは、パッチの差分を解析するための、パッチを適用したシステムを入手できなかったという。そのため、アドバイザリの精査に焦点を当てた。彼らが指摘するのは、「AdminServer のログインは、OS のローカル・ログインだけをサポートするため、常に潜在的な脆弱性がある」という点だ。さらに彼らは、AdminServer サービスのリバース・エンジニアリングも実施した。
Horizon3.ai による分析結果には、「progress.jar で発見された com.progress.chimera.adminserver.AdminServerStarter クラスを調査したところ、リモート接続が行われる際に connect() メソッドが呼び出され、ユーザーが提供したユーザー名とパスワードを要求することが判明した。興味深いことに、connect( )メソッドは、ネイティブ・システム・ライブラリである auth.dll をロードし、最終的に、その中で定義された authorizeUser() メソッドを呼び出す。auth.dll を置き換えることは、一時的な緩和策で言及されているのであり、おそらく正しい方向に進んでいる」と詳述されている。
authorizeUser() 関数は、vulnerable_checks() という名前の関数に制御を移す前に、提供された認証情報を検証することで、一次入力検証を行うために使用される。
研究者たちは、ユーザーが提供した AccountName (ユーザー名) が、NT AUTHORITY／SYSTEM と比較され、もし一致すれば、認証が許可されることを発見した。
研究者たちはレポートで、「我々は認証のバイパスに成功したが、その次の目標となったのは、リモート・コード実行などを実行する、攻撃フェーズを見つけることだった」と締め括っている。
Progress Openedge の脆弱性 CVE-2024-1403 ですが、第一報は 2024/02/27 の「Progress OpenEdge の認証バイパスの脆弱性 CVE-2024-1403 が FIX：CVSS 値は 10.0」となります。この脆弱性の悪用に成功した攻撃者は、機密データベースなどの様々な OpenEdge コンポーネントへの不正アクセスが可能になるとのことです。ご用心ください。よろしければ、Progress で検索も、ご利用ください。
IoT OT Security News 
You must be logged in to post a comment.