1733255807
2024-12-03 19:00:00
Progress WhatsUp Gold の重大度のリモート コード実行の欠陥に対する概念実証 (PoC) エクスプロイトが公開されたため、最新のセキュリティ アップデートをできるだけ早くインストールすることが重要です。
欠陥は次のように追跡されます CVE-2024-8785 (CVSS v3.1 スコア: 9.8) で、2024 年 8 月中旬に Tenable によって発見されました。これは、2023.1.0 以降および 24.0.1 より前の WhatsUp Gold バージョンの NmAPI.exe プロセスに存在します。
Windows レジストリの操作
NmAPI.exe を起動すると、WhatsUp Gold にネットワーク管理 API インターフェイスが提供され、受信リクエストをリッスンして処理します。
受信データの検証が不十分なため、攻撃者は特別に作成したリクエストを送信して、WhatsUp Gold 構成ファイルの読み取り元を制御する機密の Windows レジストリ キーを変更または上書きする可能性があります。
「認証されていないリモート攻撃者は、net.tcp://:9643 で netTcpBinding 経由で UpdateFailoverRegistryValues オペレーションを呼び出すことができます。」 Tenable の記事を読む。
「UpdateFailoverRegistryValues 操作を通じて、攻撃者は既存のレジストリ値を変更したり、HKEY_LOCAL_MACHINESOFTWAREWOW6432NodeIpswitch 下のレジストリ パスに新しいレジストリ値を作成したりすることができます。」
具体的には、攻撃者は HKEY_LOCAL_MACHINESOFTWAREWOW6432NodeIpswitchNetwork MonitorWhatsUp GoldSetupInstallDir を、攻撃者が制御するホスト (\shareWhatsUp) を指す UNC パスに変更する可能性があります。
次回 Ipswitch Service Control Manager サービスが再起動されると、攻撃者が制御するリモート共有からさまざまな構成ファイルが読み取られます。このファイルは、脆弱な WhatsUp Gold システム上で攻撃者が望むリモート実行可能ファイルを起動するために使用される可能性があります。
このようなシナリオから生じる明らかなリスクとは別に、システム レジストリを変更する機能により、システム起動時に悪意のあるコードが実行されるようにスタートアップ キーを変更するなど、攻撃に優れた永続性機能も与えられます。
CVE-2024-8785 の悪用には認証が必要なく、NmAPI.exe サービスにはネットワーク経由でアクセスできるため、リスクは重大です。
今すぐ WhatsUp Gold をアップデートしてください
WhatsUp Gold 導入を管理しているシステム管理者は、できるだけ早くバージョン 24.0.1 にアップグレードする必要があります。
WhatsUp Gold は最近再びハッカーの標的になっており、攻撃者は公開されているエクスプロイトを利用して脆弱なエンドポイントを攻撃しています。
8 月初旬、攻撃者は WhatsUp Gold RCE の重大な欠陥に対する公開 PoC を使用して、企業ネットワークへの初期アクセスを取得しました。
9 月、ハッカーは WhatsUp Gold の 2 つの重大な SQL インジェクションの脆弱性に対して公開エクスプロイトを使用し、パスワードを知らなくても管理者アカウントを乗っ取ることができました。
Progress Software の人気のネットワーク監視ソリューションの重大な脆弱性を攻撃者が悪用するという最近の履歴を考慮すると、利用可能なセキュリティ アップデートを迅速に適用することが不可欠です。
#WhatsUp #Gold #RCE #の重大な欠陥に対するエクスプロイトがリリースされました今すぐパッチを適用してください