SSRF mù trong TP-Link Omada Controller cho phép liệt kê dịch vụ nội bộ

Blind Server-Side Request Forgery (SSRF) trong Omada Controllers thông qua chức năng webhook, cho phép gửi các yêu cầu được tạo đặc biệt tới các dịch vụ nội bộ, có thể dẫn đến việc liệt kê thông tin.

TP-Link Systems Inc. xác định sản phẩm bị ảnh hưởng là Omada Controller.

• Các phiên bản nhỏ hơn 6.0 được đánh dấu là affected.
• Advisory của TP-Link liệt kê phiên bản >= 6.0 là fixed.
• Trạng thái mặc định của sản phẩm trong bản ghi là unknown đối với các phạm vi không được nêu rõ. Không nên suy luận rằng các nhánh song song hoặc bản dựng đặc thù ngoài phạm vi trên được bao phủ nếu chưa được kiểm tra riêng.

TP-Link Systems Inc.'s Omada Controller xử lý chức năng webhook theo cách cho phép tạo các yêu cầu hướng tới dịch vụ nội bộ. Đây là lỗi Server-Side Request Forgery (SSRF) mù, trong đó máy chủ điều khiển thực hiện yêu cầu thay cho người gửi, còn chi tiết phản hồi hoặc kênh quan sát kết quả không được mô tả trong bằng chứng hiện có. Theo thông tin CNA và advisory của nhà cung cấp, khai thác có thể thực hiện qua mạng, với độ phức tạp thấp, yêu cầu quyền cao và không cần tương tác của người dùng. Bằng chứng hiện có chưa xác định trường hoặc tham số webhook cụ thể, loại dịch vụ nội bộ có thể bị truy vấn, cách kết quả được suy luận, hay phạm vi thông tin có thể liệt kê.

Lỗi có thể bị tiếp cận qua mạng thông qua chức năng webhook. Thông tin đánh giá của CNA cho biết kẻ tấn công cần quyền cao và không cần người dùng tương tác; advisory của nhà cung cấp mô tả cùng cơ chế SSRF qua webhook. Bản ghi được cung cấp không xác định khai thác thực tế, chiến dịch, nạn nhân hoặc mã khai thác công khai. Phần enrichment có thẩm quyền được truy xuất đánh dấu trạng thái exploitation là none, nhưng điều đó không chứng minh rằng việc lạm dụng là không thể xảy ra.

Kết quả kỹ thuật chính là controller có thể gửi các yêu cầu được tạo đặc biệt tới dịch vụ nội bộ thông qua webhook, có khả năng cho phép suy luận hoặc liệt kê thông tin. CNA đánh giá tác động bảo mật ở mức giới hạn, trong khi tính toàn vẹn và tính sẵn sàng không được xác định là bị ảnh hưởng bởi lỗi này. Việc khai thác yêu cầu quyền cao theo dữ liệu CNA và không cần tương tác của người dùng. Hệ quả tổ chức có thể gồm lộ thông tin về cấu trúc mạng hoặc dịch vụ nội bộ và tạo điều kiện cho reconnaissance tiếp theo; bằng chứng hiện có không xác nhận truy cập dữ liệu sâu hơn, thay đổi cấu hình, chiếm quyền hay gián đoạn dịch vụ.

Lỗi có thể làm lộ thông tin về các dịch vụ có thể tiếp cận từ máy chủ Omada Controller, chẳng hạn như sự hiện diện hoặc khả năng phản hồi của các dịch vụ nội bộ. Thông tin này có thể hỗ trợ hoạt động reconnaissance tiếp theo, nhưng bằng chứng hiện có không xác nhận một chuỗi tấn công tiếp diễn, truy cập trái phép vào dữ liệu cụ thể hoặc xâm nhập hệ thống khác. Vấn đề được mô tả với tác động chính ở tính bảo mật giới hạn; không có bằng chứng cho thấy lỗi này tự nó thay đổi dữ liệu hoặc làm gián đoạn dịch vụ. Rủi ro thực tế phụ thuộc vào quyền của tài khoản có thể quản lý webhook và mức độ nhạy cảm của các dịch vụ mà controller có thể truy cập.

1. Nâng cấp Omada Controller bị ảnh hưởng lên phiên bản >= 6.0, là ranh giới phiên bản được TP-Link liệt kê là đã khắc phục.
2. Sau khi cập nhật, xác minh phiên bản thực tế trên từng controller và kiểm tra lại các webhook đã cấu hình.
3. Nếu chưa thể cập nhật, bằng chứng được xem xét không nêu một biện pháp giảm thiểu tạm thời cụ thể từ vendor. Không nên coi việc vô hiệu hóa hoặc thay đổi webhook là bản vá đã được TP-Link xác nhận nếu chưa có hướng dẫn tương ứng.
4. Rà soát các yêu cầu outbound do controller thực hiện sau cập nhật để phát hiện cấu hình webhook còn trỏ tới dịch vụ nội bộ không cần thiết.

1. Kiểm kê tất cả Omada Controller và xác định những hệ thống đang chạy phiên bản thuộc phạm vi bị ảnh hưởng bằng cách đối chiếu với ranh giới phiên bản trong advisory của TP-Link.
2. Rà soát các webhook đã cấu hình, đặc biệt là đích đến trỏ tới địa chỉ mạng nội bộ hoặc dịch vụ quản trị, và xác minh rằng mỗi đích đến là cần thiết.
3. Kiểm tra nhật ký hoặc telemetry hiện có của controller, proxy và firewall để tìm các yêu cầu outbound do webhook kích hoạt tới dịch vụ nội bộ. Đây là biện pháp giám sát phòng ngừa, không phải IOC được vendor xác nhận.
4. Đối chiếu thời điểm cập nhật và phiên bản thực tế sau khi vá. Bằng chứng hiện có không nêu tên sự kiện log, mẫu request, địa chỉ đích hoặc IOC cụ thể; không nên coi việc không thấy các dấu hiệu này là bằng chứng hệ thống an toàn.