شناسایی سامانه‌های مدیریت شبکه آسیب‌پذیر در مقابل حملات مبتنی بر پروتکل SNMP

محققان امنیتی با تحلیل چندین سامانه مدیریت شبکه موجود در بازار، اعلام کردند که این سامانه‌ها آسیب‌پذیری‌هایی دارند که نفوذگران می‌توانند با استفاده از آن‌ها حملات XSS و حملات Format string را ترتیب دهند. این محققان اعلام کردند که این حملات از طریق پروتکلSNMP انجام می‌شوند.

یک گروه تحقیقاتی متشکل از یک محقق مستقل با نام متیو کیِنو و تاد بیِردسلِی و درال هیلند کارمندان شرکت Rapid۷ محصولات سامانه مدیریت شبکه را از ۹ شرکت فروش این محصولات با نام‌های Spiceworks ،Ipswitch ،Castle Rock ،ManageEngine ،CloudView ،Paessler ،Opmantek ،Netikus و Opsview مورد بررسی و تحلیل قرار دادند.

این محصولات در حقیقت ابزارهای سخت‌افزاری و نرم‌افزاری هستند که به کارمندان شرکت‌های فناوری اطلاعات این امکان را می‌دهند دستگاه‌های موجود در یک شبکه را کشف و بر آن‌ها نظارت داشته باشند. ایستگاه‌های کاری، چاپگرها، سوئیچ‌ها و ابزارهای امنیتی از این دسته دستگاه‌ها هستند. این محصولات به طور کلی با استفاده از پروتکل SNMP فرآیند کشف و اجرا را ترتیب می‌دهند.

محققان طی بررسی‌های خود عنوان کردند که در این مباحث، مشکل این است که محصولات این سامانه اغلب در تائید ورودی‌های ماشینی مانند اطلاعات ارسالی توسط پروتکل SNMP، به مشکل برخورد می‌کنند. این اتفاق به یک نفوذگر امکان انجام رشته‌ای از فعالیت‌ها را می‌دهد. کارشناسان در این خصوص ۳ مسیر حمله به این پروتکل را شناسایی کرده‌اند که برای حمله به محصولات سامانه مدیریت شبکه مورد استفاده قرار می‌گیرند.

یکی از این مسیرهای حمله به صورت حمله XSS است که در آن نفوذگر یک دستگاه آلوده را در شبکه قرار می‌دهد. در طول فرآیند کشف محصول، دستگاه آلوده اطلاعات جعلی پروتکل را که دارای بار داده تزریق اسکریپت است، ارسال می‌کند. هنگامی که یک کاربر معمولاً اختیارات و امتیازات مدیریت سامانه را در اختیار دارد، یک برنامه را باز می‌کند،‌ این بار داده در بخش مدیریت وب‌محور سامانه مدیریت شبکه اجرا می‌شود.

شرکت Rapid۷ نیز در تحقیقات خود در این خصوص اعلام کرد که نسخه‌های مختلف محصولات Spiceworks Desktop ،WhatsUp Gold ،Castle Rock SNMPc ،ManageEngine OpUtils ،CloudView NMS ،Paessler PRTG و Opmantek NMIS در معرض خطر حمله XSS هستند.

۲_۵۸

مسیر حمله دوم نیز متشکل از بار داده XSS است و در عین حال با استفاده از بخش‌های کوچک موجود در پروتکل SNMP استفاده می‌کند. این بخش‌های کوچک به منظور ارسال گزارش‌های وضعیت و همچنین هشدارها به عوامل مدیریت‌شده مورد استفاده قرار می‌گیرند. محققان در این خصوص دریافتند که نفوذگران می‌توانند با سوءاستفاده از بخش‌های کوچک پروتکل که از دستگاه‌های شناخته‌شده حاصل می‌شوند، بار داده حمله تزریق اسکریپت خود را به سامانه تزریق کنند.

شرکت Rapid۷ طی گزارشی در این خصوص اعلام کرد: «در بدترین حالت، نفوذگر می‌تواند با طی یک راهکار حمله کلی و بی‌هدف و با استفاده از نشانی‌های IP جعلی، پیام‌هایی را به هر درگاه UDP/۱۶۲ ارسال کند. پس از این اقدام، نفوذگر به این امید است که سامانه مدیریت شبکه، یکی از رشته‌های تزریق اسکریپت را دریافت می‌کند و آن را در کنسول وب یکی از این سامانه‌ها قرار می‌دهد.»

کارشناسان نیز اعلام کردند که چنین حملاتی را می‌توان در نسخه‌های مختلف محصولات Ipswitch WhatsUp Gold ،Castle Rock SNMPc ،Opsview Monitor ،CloudView NMS ،Netikus EventSentry و Opmantek NMIS ترتیب داد.

حمله سوم که محققان آن را کشف کرده‌اند شامل بهره‌برداری تزریق Foramt String در پروتکل SNMP است.

Fromat String در حقیقت بخش‌های C specifiers هستند که برای تعریف خروجی برخی توابع مورد استفاده قرار می‌گیرند و با استفاده از شناسه % معرفی می‌شوند. به عبارت بهتر بهره‌برداری‌های Foramt String هنگامی رخ می‌دهند که یک برنامه داده‌ّهای ثبت‌شده یک رشته ورودی را به صورت یک فرمان ثبت می‌کند و نفوذگر با استفاده از این مسئله امنیت و پایداری یک سامانه را مختل می‌کند.

ارسال Format String جعلی به یک موتور تجزیه‌کننده در محصول سامانه مدیریت شبکه به نفوذگر امکان ایجاد شرایط حمله منع سرویس و یا اجرای کد از راه دور را می‌دهد. بررسی‌های محققان نشان می‌دهد که تنها محصولات شرکت CloudView در معرض چنین نوع حملات قرار دارد.

هرکدام از شرکت‌های فروش آلوده به این صورت توسط شرکت Rapid۷ و قبل از اعلان عمومی اطلاعات، در جریان قرار گرفتند و زمان لازم برای طراحی وصله‌ها در این خصوص به آن‌ها داده شد. برخی از آسیب‌پذیری‌ها نیز توسط شرکت‌های CERT/CC و Rapid۷ در دسامبر ۲۰۱۵ رفع شدند.

یکی از نتایج مهم و مثبت این تحقیقات این است که علی‌رغم اینکه بسیاری از شرکت‌های طراحی و توسعه در مورد آسیب‌پذیری‌های ناشی از اعتبارسنجی نادرست ورودی‌های کاربری نکات مهمی را آموختند، اما هنوز مسئله اعتبار سنجی ورودی‌های ماشینی مورد توجه کافی قرار نگرفته است و این عدم توجه منجر به بروز حفره‌های امنیتی جدی می‌شود. محققان در این خصوص هشدار دادند: «بسیاری از مردم تصور نمی‌کنند که یک مسیریاب و یا سوئیچ، می‌تواند یک کاربر باشد. به همین دلیل، در هنگام طراحی یک رابطه ماشین به ماشین (دستگاه به دستگاه)، کمتر کسی به یکی از اصول مهم طراحی نرم‌افزار، یعنی «عدم اعتماد مستقیم به ورودی‌های کاربری» توجه می‌کند. رشته‌های XSS نیز در این شرایط با سخت‌تر کردن مسائل، در بحث خدمات پروتکل SNMP مشکل‌ساز شده‌اند و در عین حال، خدمات و اطلاعات این پروتکل توسط بخش‌های مدیریت وب، معتبر تلقی می‌شوند که این نیز خود یک مشکل است.»

منبع: asis

درباره نماد امنیت وب

“نماد امنیت وب” به عنوان یکی از شرکت های پیشتاز در زمینه امنیت نرم افزار و سرویس های تحت وب، با ارائه سرویس های امنیتی برای تمامی کسب و کار ها و دارای نمایندگی شرکت Acunetix (اکوانتیکس) بعنوان محبوب ترین اسکنر امنیتی black box در دنیا، ایمنی وب سایت شما را در مقابل حمله هکر ها تضمین می کند.