Bypass xác minh chữ ký cryptographic cho phép chiếm root trên Cohesity NetBackup Flex OS

Một user đã xác thực, có ít quyền và được truy cập NetBackup Flex OS management shell có thể bypass bước xác minh chữ ký cryptographic của một privileged support command bằng cách cung cấp một access credential được tạo đặc biệt. Khai thác thành công cấp cho attacker một unrestricted root shell với toàn quyền kiểm soát Flex appliance host và tất cả hosted containers, làm mất hoàn toàn confidentiality, integrity và availability.

• Cohesity NetBackup Flex OS: Bản ghi đánh dấu sản phẩm có default_status là unaffected, đồng thời xác định phiên bản 0 với giới hạn trên lessThan: 6.4 là affected theo version scheme custom.
• Advisory của Cohesity mô tả phạm vi tương ứng là các phiên bản trước 6.4.
• Không có nhánh song song hoặc phạm vi phiên bản khác được xác nhận trong bằng chứng hiện có.

Cohesity NetBackup Flex OS có lỗi trong bước xác minh chữ ký cryptographic của một privileged support command. User đã xác thực và có ít quyền nhưng được truy cập management shell có thể cung cấp một access credential được tạo đặc biệt, khiến bước kiểm tra chữ ký bị bypass. Sau đó, command đặc quyền cấp cho attacker một unrestricted root shell trên Flex appliance host và toàn bộ các container được host trên đó. Khả năng khai thác yêu cầu quyền truy cập đã xác thực vào management shell; các thông tin phân loại cho thấy đường tấn công qua network, không cần user interaction và có attack complexity thấp. Bản ghi không nêu tên command cụ thể, định dạng credential, thuật toán chữ ký, endpoint hoặc chi tiết triển khai khiến việc xác minh bị bypass.

Khai thác từ xa qua network và yêu cầu attacker đã xác thực bằng tài khoản ít quyền có quyền truy cập NetBackup Flex OS management shell. Không cần thêm user interaction, và điều kiện được mô tả là có độ phức tạp thấp. Access credential được tạo đặc biệt được dùng với privileged support command để vượt qua bước xác minh chữ ký cryptographic. Bản ghi đánh dấu không có public exploit, nhưng trạng thái known exploited không được xác định; advisory được kiểm tra cũng không ghi nhận việc khai thác thực tế. Không có thông tin cho thấy việc khai thác cần quyền quản trị trước đó.

Khai thác thành công cho phép attacker có unrestricted root shell trên Flex appliance host và toàn bộ hosted containers. Hậu quả kỹ thuật được mô tả là mất hoàn toàn confidentiality, integrity và availability trong phạm vi mà host hoặc container bị chiếm quyền có thể truy cập. Điều này có thể dẫn đến đọc dữ liệu, sửa đổi cấu hình hoặc phần mềm, phá hủy dữ liệu và làm gián đoạn dịch vụ. Lỗ hổng bắt đầu từ một tài khoản đã xác thực có ít quyền, nhưng bằng chứng không cho biết quyền truy cập ban đầu đó có thể tiếp cận những tài nguyên nào trước khi leo thang.

Lỗ hổng có thể biến quyền truy cập shell cấp thấp thành quyền kiểm soát root trên Flex appliance host và các container được host trên đó.

• Dữ liệu: Attacker có thể truy cập hoặc thay đổi dữ liệu và cấu hình mà root trên appliance hoặc container có thể tiếp cận.
• Vận hành: Attacker có thể làm suy giảm hoặc gián đoạn các dịch vụ chạy trên appliance và container.
• Toàn vẹn hệ thống: Host và workload có thể bị sửa đổi trái phép, tạo điều kiện cho việc duy trì truy cập hoặc làm sai lệch hoạt động quản trị.
• Giới hạn bằng chứng: Không có bằng chứng cho thấy một tổ chức, dữ liệu cụ thể hoặc dịch vụ cụ thể đã bị ảnh hưởng trong thực tế.

1. Nâng cấp Cohesity NetBackup Flex OS lên phiên bản 6.4 hoặc cao hơn theo remediation của Cohesity. Đây là biện pháp chính vì advisory nêu rõ không có compensating control nào loại bỏ hoàn toàn rủi ro.
2. Trong khi chờ nâng cấp, chỉ cho phép các administrator được ủy quyền truy cập NetBackup Flex OS management shell và loại bỏ các quyền truy cập không cần thiết.
3. Rà soát các tài khoản đã truy cập management shell và các hoạt động của privileged support command để xác định dấu hiệu sử dụng credential bất thường.
4. Sau khi nâng cấp, xác minh lại inventory, trạng thái phiên bản và quyền truy cập shell trên cả appliance host và các hosted containers.

1. Kiểm kê các appliance đang chạy Cohesity NetBackup Flex OS và xác minh phiên bản theo inventory hoặc giao diện quản trị.
2. Xác định mọi tài khoản có quyền truy cập management shell, đặc biệt các tài khoản ít quyền, và đối chiếu với nhu cầu vận hành thực tế.
3. Rà soát audit log và nhật ký xác thực cho các lần truy cập management shell bất thường, việc sử dụng privileged support command, hoặc credential có hình thức bất thường nếu hệ thống ghi nhận được các sự kiện này.
4. Kiểm tra dấu hiệu thay đổi trái phép trên appliance host và các hosted containers sau những lần truy cập shell đáng ngờ.
5. Không có IOC, tên log event hoặc mẫu credential cụ thể được công bố trong bằng chứng hiện có; việc giám sát bổ sung chỉ nên được xem là biện pháp phòng ngừa, không phải phương thức xác nhận hệ thống an toàn.