Lỗi kiểm soát truy cập trong TP-Link JetStream Smart Switch TL-SG2210P cho phép leo thang đặc quyền

TP-Link JetStream Smart Switch TL-SG2210P 5.0 Build 20211201 cho phép kẻ tấn công leo thang đặc quyền bằng cách sửa đổi các giá trị 'tid' và 'usrlvl' trong các yêu cầu GET.

• TP-Link JetStream Smart Switch TL-SG2210P firmware 5.0 Build 20211201 được xác định là bị ảnh hưởng.
• Thông báo công khai cho biết vendor đã phát hành firmware khắc phục TL-SG2210P(UN)_V5.20_5.20.1 Build 20240202.
• Bằng chứng hiện có không xác định trạng thái của các hardware revision khác, biến thể firmware theo khu vực hoặc các nhánh phát hành song song; không nên suy luận rằng mọi bản phát hành sau đó đều đã được khắc phục.

TP-Link JetStream Smart Switch TL-SG2210P có lỗi kiểm soát truy cập không phù hợp trong web console. Các endpoint bị ảnh hưởng là usermanagement và swtmactablecfg; giá trị do kẻ tấn công kiểm soát gồm tid và usrlvl trong các yêu cầu GET. Việc sửa các giá trị này có thể dẫn đến leo thang đặc quyền, cho thấy cơ chế kiểm tra quyền truy cập không ràng buộc đúng với vai trò hoặc phiên hiện tại.

Bản ghi cho thấy đường tấn công có thể thực hiện qua mạng, cần một mức đặc quyền ban đầu thấp, không cần tương tác của người dùng và có độ phức tạp thấp. Chi tiết về logic kiểm tra quyền, các giá trị hợp lệ của tham số và vai trò đích sau khi leo thang chưa được công bố. Bằng chứng hiện có cũng không xác định quyền truy cập ban đầu là không cần xác thực.

• Khả năng tiếp cận: Tấn công từ xa qua giao diện web console của thiết bị.
• Điều kiện: Bản ghi chỉ ra kẻ tấn công cần có một mức đặc quyền thấp; không yêu cầu tương tác của người dùng và độ phức tạp được đánh giá là thấp.
• Khai thác công khai: Bản ghi không đánh dấu có public exploit, còn thông báo công khai ghi Exploit/POC là N/A. Điều này không chứng minh rằng lỗ hổng không thể bị khai thác hoặc chưa từng bị khai thác trong thực tế.
• Giới hạn: Không có bằng chứng xác định chiến dịch, nạn nhân, payload hoặc chuỗi khai thác cụ thể.

Khai thác thành công có thể chuyển một tài khoản hoặc phiên có đặc quyền thấp thành quyền cao hơn trên chính switch bị ảnh hưởng. Với phạm vi tác động không thay đổi, hậu quả chủ yếu nằm trong thành phần thiết bị, nhưng vẫn có thể làm mất tính bí mật của dữ liệu quản trị, cho phép thay đổi trái phép cấu hình và ảnh hưởng đến tính sẵn sàng của dịch vụ mạng.

Khả năng thay đổi cụ thể sau khi leo thang, chẳng hạn những chức năng quản trị nào có thể bị lạm dụng, chưa được công bố. Vì vậy, không nên giả định rằng việc kiểm tra một endpoint riêng lẻ có thể loại trừ toàn bộ tác động của lỗ hổng.

Tác động được xác nhận là kẻ tấn công có thể leo thang đặc quyền trên thiết bị. Bản ghi tác động cho thấy việc khai thác thành công có thể ảnh hưởng nghiêm trọng đến tính bí mật, tính toàn vẹn và tính sẵn sàng của thiết bị.

Trong thực tế, quyền cao hơn có thể cho phép truy cập dữ liệu quản trị, thay đổi cấu hình hoặc làm gián đoạn hoạt động chuyển mạch, nhưng các khả năng cụ thể này chưa được tài liệu công khai xác nhận. Thiết bị quản trị từ mạng rộng hoặc mạng không tin cậy có rủi ro vận hành cao hơn vì đường tấn công có thể được tiếp cận từ xa.

1. Nâng cấp thiết bị bị ảnh hưởng lên firmware khắc phục chính xác TL-SG2210P(UN)_V5.20_5.20.1 Build 20240202, theo thông tin trong thông báo công khai.
2. Xác minh sau nâng cấp rằng firmware và build thực tế khớp với bản khắc phục, đồng thời kiểm tra lại quyền, tài khoản và cấu hình quản trị.
3. Trong thời gian chưa thể nâng cấp, hạn chế web console chỉ cho các mạng quản trị tin cậy; chặn truy cập từ Internet hoặc các vùng mạng không cần thiết và sử dụng đường truy cập quản trị được kiểm soát. Đây là biện pháp giảm phơi bày tạm thời, không phải bản sửa lỗi đã được vendor xác nhận.
4. Không coi một firmware khác hoặc một nhánh phát hành song song là đã được khắc phục nếu chưa có xác nhận trực tiếp từ vendor hoặc bằng chứng tương đương.

1. Kiểm kê các thiết bị TP-Link JetStream Smart Switch TL-SG2210P và xác minh firmware cùng build đang chạy.
2. Xác định thiết bị nào cho phép truy cập web console từ mạng không tin cậy hoặc từ các vùng mạng rộng hơn phạm vi quản trị cần thiết.
3. Nếu web-console logging khả dụng, rà soát các yêu cầu GET tới usermanagement và swtmactablecfg, đặc biệt khi tid hoặc usrlvl có giá trị bất thường hoặc thay đổi ngoài quy trình quản trị thông thường.
4. Kiểm tra lịch sử thay đổi tài khoản, vai trò quản trị, cấu hình switch và các sự kiện đăng nhập sau những yêu cầu đáng ngờ.
5. Các dấu hiệu trên chỉ là đầu mối điều tra, không phải IOC đã được xác nhận; bằng chứng hiện có không cung cấp một mẫu log hoặc indicator quyết định.