Bitdefender met en garde contre une vulnérabilité dans la plate-forme de gestion des actifs informatiques Device42

Grâce à la plate-forme largement utilisée Device42, les administrateurs informatiques peuvent gérer le matériel, les logiciels, les appareils et les réseaux au sein de leur organisation dans des environnements sur site et dans le cloud. La plate-forme de gestion largement utilisée découvre automatiquement les actifs et enregistre leurs dépendances les unes par rapport aux autres. Les experts de Bitdefender Labs ont découvert une vulnérabilité qui permettait aux pirates d'exécuter du code à distance dans l'environnement de staging de la plateforme. Ils ont également pu obtenir un accès root complet, leur donnant un contrôle total sur les actifs internes de l'informatique victime. Après une coopération intensive avec Bitdefender Labs, Device42 a maintenant fermé la vulnérabilité. Les utilisateurs sont invités à mettre immédiatement à jour leur solution vers la version 18.01.00 ou ultérieure.

Les experts de Bitdefender Labs ont découvert plusieurs vulnérabilités graves dans l'appliance de la plate-forme Device42. Les pirates pourraient les exploiter avec n'importe quel niveau d'accès au réseau de l'entreprise attaquée. Ils ont donc pu cartographier un utilisateur légitime via Cross Site Scripting (XSS). Ils ont également reçu un accès administrateur à la solution Device42 en écoutant une session avec Local File Inclusion (LFI). De cette manière, les pirates ont obtenu des droits d'exécution de code à distance (RCE) avec des privilèges root en participant à une session sans authentification. Cela entraînait des risques secondaires critiques tels que l'extraction d'ID de session valides d'utilisateurs authentifiés ou l'exécution de code à distance via une tâche de découverte automatique. Les attaquants ont également pu exécuter du code à distance dans le composant Compliance Manager de Device42. Les attaquants ont obtenu les données d'accès nécessaires en exploitant les vulnérabilités décrites dans le rapport Bitdefender Labs.