Lỗi bypass xác thực trong OpenText EnCase SAFE Agents cho phép kết nối Agent trái phép

Thành phần OpenText™ (EnCase SAFE Agents) được sử dụng bởi OpenText™ Endpoint Investigator, OpenText™ Endpoint Forensics & Response, OpenText™ Information Assurance và OpenText™ Endpoint Security chứa một lỗ hổng bảo mật trên các Agent, có thể cho phép hoạt động trái phép hoặc không cần xác thực thiết lập một kết nối trái phép đến Agent dễ bị ảnh hưởng bằng cách vượt qua các kiểm soát bảo mật dự kiến trong quá trình thiết lập phiên.

Các mục sau có default_status là unaffected, nhưng các phạm vi rõ ràng trong dữ liệu CNA được đánh dấu là affected:

• Endpoint Investigator: module SAFE 25.4; mục phiên bản có giá trị bắt đầu 0 và giới hạn lessThanOrEqual là 26.1 được đánh dấu affected. Thay đổi tại SAFE 25.4.3 được đánh dấu unaffected.
• Endpoint Forensics & Response: module SAFE 25.4; mục phiên bản có giá trị bắt đầu 0 và giới hạn lessThanOrEqual là 26.1 được đánh dấu affected. Thay đổi tại SAFE 25.4.3 được đánh dấu unaffected.
• Information Assurance: module SAFE 25.4; mục phiên bản có giá trị bắt đầu 0 và giới hạn lessThanOrEqual là 26.1 được đánh dấu affected. Thay đổi tại SAFE 25.4.3 được đánh dấu unaffected.
• Endpoint Security: module SAFE 24.1; mục phiên bản có giá trị bắt đầu 0 và giới hạn lessThanOrEqual là 24.1 được đánh dấu affected. Thay đổi tại SAFE 25.1.2 được đánh dấu unaffected.

Bản ghi không xác nhận trạng thái của mọi nhánh phát hành khác hoặc chứng minh rằng mọi phiên bản cao hơn đều an toàn. Cách biểu diễn phạm vi bằng giá trị bắt đầu 0 là dữ liệu versioning tùy biến của CNA và cần được đối chiếu với inventory thực tế của SAFE Agents.

Lỗ hổng nằm trong thành phần EnCase SAFE Agents, được sử dụng bởi các sản phẩm OpenText Endpoint Investigator, Endpoint Forensics & Response, Information Assurance và Endpoint Security. Đây là lỗi bypass xác thực do giả mạo thuộc CWE-290, xảy ra trong quá trình thiết lập phiên. Hoạt động do kẻ tấn công kiểm soát có thể khiến Agent chấp nhận một kết nối trái phép hoặc không cần xác thực, dù các kiểm soát bảo mật dự kiến phải ngăn kết nối đó. Dữ liệu được cung cấp cho biết việc khai thác có thể thực hiện qua mạng, không yêu cầu đặc quyền hay tương tác người dùng và có độ phức tạp thấp. Chi tiết về thông điệp, trường handshake, giao thức hoặc endpoint cụ thể bị khai thác chưa được công bố, vì vậy không nên suy đoán payload hay chuỗi khai thác.

Lỗ hổng có thể bị tiếp cận qua mạng và theo dữ liệu CVSS được cung cấp không yêu cầu xác thực trước, không yêu cầu đặc quyền, không cần người dùng tương tác và có độ phức tạp thấp. Điều kiện cốt lõi là Agent dễ bị ảnh hưởng phải có khả năng nhận lưu lượng thiết lập phiên từ nguồn tấn công. Bản ghi đánh dấu public_exploit là false, trong khi known_exploited và ransomware_campaign không có giá trị xác nhận. Các trạng thái này không chứng minh rằng lỗ hổng chưa từng bị khai thác; bản ghi công khai hiện không cung cấp bằng chứng cụ thể về một chiến dịch, nạn nhân hoặc exploit đã được xác định.

Một kết nối trái phép đến Agent có thể làm suy yếu ranh giới xác thực của thành phần SAFE Agents và cho phép tác động đến endpoint mà Agent quản lý. Theo dữ liệu tác động được cung cấp, hậu quả tiềm ẩn bao gồm ảnh hưởng cao đến tính bí mật, tính toàn vẹn và tính sẵn sàng.

• Về kỹ thuật, kẻ tấn công có thể đạt được khả năng hoạt động mà một kết nối Agent hợp lệ được phép thực hiện.
• Về tổ chức, điều này có thể làm sai lệch dữ liệu điều tra, gián đoạn thu thập hoặc làm giảm khả năng phản ứng với sự cố.
• Quyền chính xác sau khi kết nối thành công và việc có thể thực hiện thao tác nào trên từng sản phẩm chưa được công bố; không nên tự động suy ra một chuỗi thực thi cụ thể.

Nếu kết nối trái phép được chấp nhận, kẻ tấn công có thể tác động đến Agent và các hoạt động mà Agent được cấp quyền thực hiện. Hậu quả có thể bao gồm:

• Tiết lộ dữ liệu hoặc thông tin thu thập từ endpoint.
• Thay đổi trạng thái, dữ liệu hoặc hoạt động quản trị liên quan đến Agent.
• Làm gián đoạn khả năng thu thập, điều tra, phản ứng hoặc bảo vệ endpoint.

Mức độ thực tế phụ thuộc vào quyền của Agent và cấu hình triển khai, những chi tiết này chưa được công bố. Bản ghi không xác nhận một vụ xâm nhập, nạn nhân hoặc chiến dịch cụ thể.

1. Nâng cấp OpenText EnCase SAFE Agents lên phiên bản đã được vá. Đây là giải pháp được cung cấp trong bản ghi.
2. Với Endpoint Investigator, Endpoint Forensics & Response và Information Assurance, SAFE 25.4.3 được đánh dấu unaffected trong dữ liệu CNA. Với Endpoint Security, SAFE 25.1.2 được đánh dấu unaffected.
3. Xác nhận rằng mốc phiên bản trên đúng với module SAFE và nhánh sản phẩm đang triển khai. Không suy luận rằng một nhánh phát hành khác đã được xử lý chỉ vì một nhánh được đánh dấu unaffected.
4. Sau khi cập nhật, kiểm tra lại inventory của Agent và xác nhận rằng các phiên thiết lập bởi danh tính hợp lệ hoạt động bình thường. Nếu không thể ánh xạ bản cài đặt hiện tại với các mốc trên, cần lấy bản vá được OpenText xác nhận cho đúng nhánh trước khi coi hệ thống là đã khắc phục.

1. Lập danh sách tất cả hệ thống sử dụng OpenText Endpoint Investigator, Endpoint Forensics & Response, Information Assurance hoặc Endpoint Security, sau đó xác định các EnCase SAFE Agents đang được cài đặt.
2. Kiểm tra phiên bản Agent và module SAFE trên từng hệ thống, rồi đối chiếu với các nhánh bị ảnh hưởng và các mốc được đánh dấu không bị ảnh hưởng trong phần affected_summary.
3. Rà soát telemetry mạng và nhật ký kết nối của Agent để tìm các lần thiết lập phiên bất thường, đặc biệt là kết nối không gắn với danh tính hoặc quy trình quản trị hợp lệ. Đây là biện pháp giám sát thận trọng, không phải IOC đã được nhà cung cấp xác nhận.
4. Điều tra các Agent nhận kết nối trái phép hoặc không cần xác thực, đồng thời đối chiếu thời điểm, nguồn mạng và hoạt động quản trị liên quan nếu các dữ liệu này có sẵn.
5. Không xem việc không tìm thấy sự kiện đáng ngờ trong nhật ký là bằng chứng hệ thống an toàn, vì bản ghi không công bố đầy đủ tên log, sự kiện hoặc chỉ dấu phát hiện cụ thể.