Thông tin xác thực có thể bị lộ trong debug logs của NetApp Trident

Các phiên bản Trident từ v25.02.1 đến v26.06.1 dễ bị ảnh hưởng bởi một lỗ hổng có thể cho phép kẻ tấn công đã xác thực và có quyền truy cập vào debug logs xem được passphrase LUKS hoặc thông tin xác thực SMB Active Directory.

• NetApp Trident: bị ảnh hưởng từ v25.02.1 đến và bao gồm v26.06.1 theo custom version range trong bản ghi.
• Trạng thái mặc định được ghi là unaffected bên ngoài phạm vi nêu trên, nhưng bản ghi không xác định tình trạng của các nhánh song song hoặc nhánh phát hành khác.
• Không có fixed release cụ thể được cung cấp trong trường solution hoặc trong nội dung advisory đã kiểm tra.

Lỗ hổng thuộc CWE-215, xảy ra khi thông tin nhạy cảm được đưa vào mã hoặc đầu ra debugging. Trong trường hợp này, debug logs của Trident có thể chứa passphrase LUKS hoặc thông tin xác thực SMB Active Directory. Kẻ tấn công phải là người dùng đã xác thực, có quyền truy cập cục bộ và đọc được debug logs; không cần user interaction. Dữ liệu cung cấp không xác định code path, định dạng log, vị trí lưu log hoặc bộ quyền chính xác cần thiết để đọc các log này. Vì vậy, cơ chế cụ thể khiến các bí mật xuất hiện trong log vẫn chưa được công bố đầy đủ.

Đường khai thác được mô tả là local, yêu cầu attacker đã xác thực và có quyền truy cập vào debug logs. Attack complexity được đánh giá là thấp và không cần user interaction. Bản ghi được cung cấp không xác định trạng thái khai thác thực tế hoặc public exploit. Phần CISA enrichment được trả về hiện ghi nhận exploitation là none và automatable là no; đây là đánh giá trạng thái tại thời điểm đó, không phải bằng chứng rằng chưa từng có hoạt động khai thác.

Tác động kỹ thuật được xác nhận là disclosure đối với thông tin nhạy cảm trong log. Passphrase LUKS và SMB Active Directory credentials có thể tạo điều kiện cho truy cập trái phép tiếp theo nếu chúng còn hợp lệ, có thể sử dụng và cấp quyền phù hợp; đây là hậu quả có thể xảy ra, không phải một đường tấn công bổ sung đã được xác nhận. Bản ghi không cho thấy lỗ hổng trực tiếp sửa đổi dữ liệu hoặc gây gián đoạn dịch vụ. Phạm vi ảnh hưởng phụ thuộc vào quyền đọc debug logs, thời gian log chứa secret và quyền của các credential bị lộ.

Việc lộ passphrase LUKS có thể làm suy yếu biện pháp bảo vệ dữ liệu ở trạng thái lưu trữ nếu passphrase vẫn còn hợp lệ và có thể sử dụng. Thông tin xác thực SMB Active Directory bị lộ có thể cho phép truy cập trái phép vào các tài nguyên dùng cơ chế xác thực đó, tùy thuộc vào quyền của tài khoản và chính sách môi trường. Doanh nghiệp có thể phải điều tra phạm vi log đã bị truy cập, xoay vòng credential, xử lý passphrase liên quan và đánh giá yêu cầu kiểm toán hoặc thông báo sự cố. Bản ghi không xác nhận một vụ xâm nhập, mất dữ liệu cụ thể hoặc ảnh hưởng đến tính sẵn sàng của dịch vụ.

1. Áp dụng bản vá hoặc nâng cấp lên fixed release chính xác do NetApp xác nhận. Bản ghi đánh dấu patch là available, nhưng không cung cấp số version đã sửa; không nên suy luận rằng một version cụ thể hoặc mọi version mới hơn đều đã được xử lý.
2. Trong các version chưa được sửa, tắt debug level logging theo workaround được công bố.
3. Hạn chế quyền truy cập vào các debug logs hiện có và xem chúng như dữ liệu có thể chứa secret. Tránh sao chép hoặc lưu giữ chúng ở các vị trí không được bảo vệ.
4. Nếu log có thể đã chứa passphrase LUKS hoặc SMB Active Directory credentials, đánh giá và xoay vòng các secret đó theo quy trình vận hành an toàn, đồng thời xem xét các tài khoản và tài nguyên có thể đã sử dụng chúng.

1. Kiểm kê các deployment đang chạy NetApp Trident và đối chiếu chính xác version với phạm vi bị ảnh hưởng.
2. Kiểm tra cấu hình vận hành để xác định nơi debug level logging đang được bật, cùng các hệ thống hoặc người dùng có quyền đọc log.
3. Rà soát các debug logs hiện còn lưu để tìm passphrase LUKS và thông tin xác thực SMB Active Directory, đồng thời xử lý các log này như dữ liệu chứa secret.
4. Kiểm tra audit log hoặc access log liên quan đến việc đọc và sao chép debug logs bởi các tài khoản đã xác thực. Đây là biện pháp giám sát phòng ngừa, không phải IOC được NetApp xác nhận.
5. Nếu phát hiện hoặc nghi ngờ secret đã xuất hiện trong log, chuyển sang quy trình xoay vòng credential và passphrase tương ứng. Việc không tìm thấy chuỗi nhạy cảm trong các log đã kiểm tra không chứng minh hệ thống an toàn.