Vượt qua xác thực WebAuthn MFA trong NetApp ONTAP

Các phiên bản ONTAP 9.16.1 và cao hơn khi đã cấu hình xác thực đa yếu tố (MFA) WebAuthn dễ bị một lỗ hổng liên quan đến Relying Party ID; nếu khai thác thành công, kẻ tấn công có thông tin xác thực hợp lệ có thể vượt qua MFA.

NetApp ONTAP 9 bị ảnh hưởng khi WebAuthn MFA được cấu hình:

• Từ 9.16.1 đến các phiên bản nhỏ hơn 9.19.1.

Bản ghi có default_status là unaffected ngoài khoảng bị ảnh hưởng được khai báo. Tuy nhiên, dữ liệu hiện có không xác nhận riêng trạng thái của mọi nhánh phát hành song song hoặc các nhánh mới hơn ngoài ranh giới này.

NetApp xác định lỗi nằm ở cơ chế xử lý Relying Party ID của WebAuthn. Khi điều kiện bị lỗi được kích hoạt, một yêu cầu có thông tin xác thực ONTAP hợp lệ có thể vượt qua mức bảo đảm MFA dự kiến. Dữ liệu hiện có không cho biết lỗi nằm ở việc tạo, so sánh, phạm vi áp dụng hay liên kết Relying Party ID với credential, vì vậy chi tiết triển khai và chuỗi khai thác chính xác vẫn chưa được xác định.

Bản ghi mô tả đường tấn công có thể thực hiện qua mạng, yêu cầu thông tin xác thực hợp lệ và không cần tương tác của người dùng. Vai trò hoặc mức quyền cụ thể của credential chưa được nêu, cũng như chưa xác định endpoint quản trị nào trực tiếp xử lý yêu cầu bị lỗi. Phạm vi được hỗ trợ là ONTAP 9 khi WebAuthn MFA được cấu hình và phiên bản nằm trong khoảng bị ảnh hưởng.

Khai thác có thể thực hiện từ xa qua mạng và yêu cầu kẻ tấn công đã có thông tin xác thực hợp lệ. Bản ghi đánh giá rằng không cần user interaction và độ phức tạp của cuộc tấn công thấp, nhưng không cung cấp endpoint, request format hoặc chuỗi khai thác cụ thể.

Bản ghi được cung cấp đánh dấu không có public exploit và không xác nhận trạng thái bị khai thác trong thực tế. Điều này không chứng minh rằng chưa từng có khai thác; phương thức khai thác chi tiết và bằng chứng lạm dụng thực tế vẫn chưa được công bố trong dữ liệu hiện có.

Khai thác thành công có thể cho phép một người dùng đã có credential hợp lệ truy cập mà không phải hoàn thành WebAuthn MFA như dự kiến. Hậu quả sau đó phụ thuộc vào quyền của tài khoản, có thể bao gồm đọc hoặc thay đổi dữ liệu, thay đổi cấu hình và ảnh hưởng đến hoạt động dịch vụ trong phạm vi mà tài khoản được cấp quyền.

Lỗ hổng không tự cung cấp credential cho kẻ tấn công; credential hợp lệ vẫn là điều kiện được nêu trong bản ghi. Phạm vi quyền sau khi vượt qua MFA và các thao tác cụ thể có thể thực hiện chưa được xác định.

Nếu khai thác thành công, lỗ hổng có thể làm suy yếu MFA, vốn là lớp kiểm soát bổ sung sau mật khẩu hoặc thông tin xác thực chính. Kẻ tấn công có thể truy cập các chức năng, dữ liệu hoặc thao tác quản trị mà tài khoản hợp lệ được phép sử dụng.

Mức độ ảnh hưởng thực tế phụ thuộc vào quyền của credential bị lạm dụng và cấu hình ONTAP của tổ chức. Bản ghi không cung cấp bằng chứng về một vụ xâm nhập, rò rỉ dữ liệu hoặc thay đổi trái phép cụ thể, nhưng việc bỏ qua MFA có thể làm tăng đáng kể hậu quả của việc lộ credential.

1. Nâng cấp các deployment nằm trong khoảng 9.16.1 đến trước 9.19.1 ra khỏi khoảng bị ảnh hưởng. 9.19.1 là ranh giới đầu tiên được thể hiện rõ trong dữ liệu có cấu trúc là không nằm trong khoảng ảnh hưởng.
2. Trước khi triển khai, xác nhận nhánh phát hành và release đích với hướng dẫn hiện hành của NetApp. Không nên suy luận rằng mọi nhánh mới hơn hoặc nhánh song song đều được bao phủ chỉ từ ranh giới 9.19.1.
3. Nếu chưa thể nâng cấp, tham khảo advisory của NetApp để tìm biện pháp giảm thiểu phù hợp với nhánh đang sử dụng. Bản ghi được cung cấp không nêu workaround đã được xác nhận, vì vậy không nên tự coi việc thay đổi cấu hình xác thực là biện pháp khắc phục.
4. Sau khi xử lý, rà soát hoạt động xác thực và hoạt động của các tài khoản có quyền cao để tìm phiên truy cập bất thường. Nếu có dấu hiệu credential bị lạm dụng, thực hiện quy trình ứng phó và bảo vệ lại các tài khoản liên quan.

1. Kiểm kê tất cả hệ thống NetApp ONTAP và đối chiếu phiên bản với khoảng bị ảnh hưởng trong affected_summary.
2. Xác định các cluster hoặc deployment đã bật WebAuthn MFA; kiểm tra cấu hình Relying Party ID thông qua giao diện quản trị được NetApp hỗ trợ nếu thông tin này được hiển thị.
3. Rà soát nhật ký xác thực để tìm các phiên đăng nhập thành công của tài khoản được yêu cầu WebAuthn MFA nhưng không có bằng chứng tương ứng về bước xác minh MFA. Đây là dấu hiệu giám sát mang tính phòng ngừa, không phải IOC đã được xác nhận.
4. Kiểm tra hoạt động sau đăng nhập của các tài khoản có quyền cao, bao gồm thay đổi cấu hình, truy cập dữ liệu và thao tác quản trị bất thường. Không có sự kiện đáng ngờ trong log không chứng minh hệ thống an toàn.