Tải backup archive độc hại trong IBM QRadar có thể làm lộ hệ điều hành bên dưới

IBM QRadar từ 7.5.0 đến 7.5.0 UP15 Interim Fix 002 có thể cho phép người dùng có đặc quyền tải lên một backup archive độc hại, sau đó archive này có thể được khôi phục và sử dụng để giành quyền truy cập vào hệ điều hành bên dưới.

• IBM QRadar: bị ảnh hưởng từ 7.5.0 đến và bao gồm 7.5.0 UP15 Interim Fix 002.
• Bản sửa lỗi được IBM nêu: IBM QRadar SIEM 7.5.0 UP15 IF03.
• Bản ghi và advisory được kiểm tra không xác nhận trạng thái của các nhánh hoặc bản phát hành song song khác ngoài phạm vi nêu trên. Không nên suy diễn rằng mọi bản phát hành sau bản sửa lỗi đã được xác minh là không bị ảnh hưởng nếu chưa có xác nhận tương ứng.

Lỗ hổng nằm trong quy trình tải lên và khôi phục backup archive của IBM QRadar. Người dùng có đặc quyền có thể cung cấp một backup archive được chế tạo độc hại, sau đó archive này được khôi phục và có thể được sử dụng để truy cập hệ điều hành bên dưới. Dữ liệu do kẻ tấn công kiểm soát là nội dung của backup archive; bản ghi không nêu định dạng archive, lỗi kiểm tra hợp lệ cụ thể hoặc cơ chế chính xác dẫn đến quyền truy cập hệ điều hành. Đường tấn công được mô tả là có thể truy cập qua mạng, độ phức tạp thấp và không yêu cầu tương tác bổ sung của người dùng. Điểm yếu được IBM phân loại là CWE-530, và NVD cũng liên kết với CWE-552 về việc để tệp hoặc thư mục có thể truy cập từ bên ngoài. Bản ghi có các đánh giá khác nhau về mức đặc quyền cần thiết, nhưng mô tả của IBM xác nhận rằng cần có tài khoản QRadar có đặc quyền.

• Đường tấn công có thể thực hiện qua mạng và cần một tài khoản QRadar có đặc quyền để tải backup archive.
• Bản ghi mô tả độ phức tạp tấn công thấp và không yêu cầu tương tác của người dùng khác ngoài hành động của tài khoản có đặc quyền.
• Bản ghi được cung cấp đặt trạng thái public_exploit là false và không nêu exploit, chiến dịch hoặc nạn nhân cụ thể. Đây là trạng thái của bản ghi, không phải bằng chứng rằng việc khai thác chưa từng xảy ra.
• Trường known_exploited không xác nhận hoạt động khai thác đã biết. Mức đặc quyền tối thiểu chính xác vẫn chưa được xác định do các đánh giá trong bản ghi không thống nhất.

Nếu bị khai thác, backup archive độc hại có thể được dùng để giành quyền truy cập vào hệ điều hành bên dưới IBM QRadar. Hậu quả kỹ thuật có thể gồm đọc dữ liệu, sửa đổi hệ thống hoặc làm gián đoạn dịch vụ, phù hợp với mô tả về tác động cao trên tính bí mật, toàn vẹn và khả dụng. Điều kiện ban đầu là kẻ tấn công phải có quyền sử dụng chức năng liên quan với một mức đặc quyền trên QRadar, nhưng bản ghi không xác định vai trò tối thiểu. Phạm vi truy cập chính xác sau khi restore, mức quyền trên hệ điều hành và khả năng duy trì quyền truy cập không được công bố.

• Kẻ tấn công đã có quyền truy cập vào tài khoản QRadar có đặc quyền có thể dùng backup archive độc hại để vượt ra ngoài phạm vi dữ liệu ứng dụng và tiếp cận hệ điều hành bên dưới.
• Quyền truy cập đó có thể dẫn đến nguy cơ đọc hoặc sửa dữ liệu, thay đổi cấu hình, hoặc làm gián đoạn dịch vụ QRadar.
• Do điểm yếu liên quan đến thao tác restore, các backup archive và quy trình khôi phục cần được xem là vùng rủi ro đặc biệt trong quá trình đánh giá.
• Bản ghi không xác nhận đã xảy ra xâm nhập, mất dữ liệu, tổ chức bị ảnh hưởng hoặc chiến dịch tấn công cụ thể.

1. Cập nhật IBM QRadar SIEM 7.5.0 lên 7.5.0 UP15 IF03, là bản sửa lỗi cụ thể được IBM nêu trong advisory.
2. Kiểm kê lại phiên bản sau khi cập nhật để xác nhận hệ thống không còn ở mức 7.5.0 đến 7.5.0 UP15 Interim Fix 002.
3. Rà soát các backup archive đã được tải lên hoặc khôi phục trước khi vá, cùng hoạt động của các tài khoản có đặc quyền liên quan, để xác định nhu cầu điều tra.
4. Nếu chưa thể cập nhật ngay, liên hệ IBM để nhận hướng dẫn triển khai phù hợp. Advisory của IBM không nêu workaround hoặc mitigation được hỗ trợ.
5. Không coi việc hạn chế quyền truy cập hoặc giám sát bổ sung là bản sửa lỗi thay thế cho việc cập nhật, vì các biện pháp này không được IBM xác nhận là workaround cho lỗ hổng.

1. Kiểm kê các hệ thống IBM QRadar và xác minh phiên bản đang chạy có nằm trong phạm vi bị ảnh hưởng hay không.
2. Rà soát audit log của QRadar, nếu có, để tìm các sự kiện tải lên hoặc khôi phục backup archive do tài khoản có đặc quyền thực hiện.
3. Đối chiếu các archive đã được tải lên hoặc khôi phục với quy trình thay đổi được phê duyệt, đặc biệt khi nguồn archive hoặc nội dung không quen thuộc.
4. Kiểm tra log truy cập và hoạt động trên hệ điều hành của máy chủ QRadar trong khoảng thời gian liên quan đến các thao tác tải lên hoặc khôi phục.
5. Việc không tìm thấy sự kiện trong log không chứng minh hệ thống an toàn, vì bản ghi không xác nhận loại telemetry hoặc sự kiện cụ thể mà QRadar luôn ghi lại.