Brocade SANnav ghi pre-shared key IPsec vào log, làm lộ credential đường hầm

Việc xử lý dữ liệu nhạy cảm không đúng cách trong quá trình tạo và sửa đổi chính sách IPsec của Brocade SANnav versions before 3.0.1a khiến pre-shared key bị ghi vào application log. Những cá nhân có quyền đọc system log hoặc support bundle có thể xem các credential này, dẫn đến nguy cơ lộ các khóa được sử dụng để bảo vệ network tunnel.

• Brocade SANnav: advisory của nhà cung cấp xác định các bản phát hành trước 3.0.1a là bị ảnh hưởng.
• Brocade SANnav OVA: advisory cũng liệt kê sản phẩm này trong nhóm bị ảnh hưởng với ranh giới trước 3.0.1a.
• Bản ghi có cấu trúc đi kèm biểu diễn một dải bị ảnh hưởng nhỏ hơn 3.0.1 và ghi nhận thay đổi trạng thái tại 3.0.1. Do ranh giới này khác với advisory nêu 3.0.1a, không nên mặc định 3.0.1 riêng lẻ đã khắc phục hoàn toàn; cần xác nhận build cụ thể với Broadcom.
• Brocade Fabric OS và Brocade ASCG được liệt kê là không bị ảnh hưởng vì component liên quan không hiện diện.

Lỗ hổng nằm trong component SANnav IPSEC, xảy ra khi tạo hoặc sửa IPsec policy. Trong quá trình này, pre-shared key do quản trị viên cung cấp có thể bị ghi vào application log thay vì được bảo vệ khỏi log. Người có quyền đọc system log hoặc support bundle có thể lấy được các credential này. Đây là dạng CWE-532, tức đưa thông tin nhạy cảm vào tệp log. Tài liệu hiện có không xác định tên tệp log cụ thể, mức log cần bật, định dạng bản ghi, hoặc việc các log và support bundle đã tạo trước đó có được tự động làm sạch hay không.

Bản ghi mô tả điều kiện khai thác là truy cập mạng lân cận, độ phức tạp thấp, cần quyền hạn thấp và không cần tương tác của người dùng. Điều kiện trực tiếp để xem dữ liệu là có quyền đọc system log hoặc support bundle. Không có public exploit hoặc bằng chứng khai thác thực tế nào được ghi nhận trong dữ liệu cung cấp; điều này không chứng minh rằng chưa từng có khai thác bên ngoài phạm vi dữ liệu đó. Việc khai thác thực tế còn phụ thuộc vào việc khóa đã bị ghi lại, còn hợp lệ và các log hoặc bundle có thể bị đọc hay chia sẻ hay không.

Lỗi làm lộ pre-shared key, từ đó ảnh hưởng trực tiếp đến tính bí mật của credential dùng cho IPsec. Nếu khóa bị lộ vẫn hợp lệ và được chấp nhận bởi hệ thống liên quan, bên không được phép có thể có khả năng xác thực hoặc can thiệp vào protected tunnel; mức độ thực tế phụ thuộc vào cơ chế IPsec và trạng thái của từng khóa. Bản ghi đánh giá cho thấy tác động đến tính toàn vẹn là đáng kể nhưng không xác định tác động đến tính sẵn sàng. Hậu quả vận hành có thể gồm thay khóa khẩn cấp, rà soát quyền truy cập log, điều tra việc sử dụng bundle và đánh giá lại các kết nối phụ thuộc vào khóa.

Việc ghi pre-shared key vào log làm tăng phạm vi người hoặc hệ thống có thể tiếp cận credential bảo vệ các network tunnel. Nếu khóa còn hiệu lực và bị người không được phép lấy được, tổ chức có thể phải thay khóa, rà soát quyền truy cập log và đánh giá lại các tunnel liên quan. Trong điều kiện phù hợp, khóa bị lộ có thể tạo khả năng truy cập hoặc can thiệp trái phép vào các kênh liên lạc được bảo vệ, nhưng dữ liệu hiện có không xác nhận một sự cố hoặc xâm nhập cụ thể. Các support bundle đã chia sẻ hoặc lưu giữ lâu dài cần được xem là dữ liệu nhạy cảm.

1. Cài security update của Brocade SANnav tại bản 3.0.1a, là bản sửa được advisory cung cấp. Không suy diễn rằng mọi nhánh phát hành sau đó đều đã được xác minh trong dữ liệu này.
2. Trong thời gian chưa cập nhật, hạn chế quyền đọc system log và support bundle theo nguyên tắc least privilege, đồng thời kiểm soát việc sao chép hoặc chia sẻ các tệp này.
3. Rà soát các log và bundle đã tạo trước khi cập nhật. Nếu pre-shared key có thể đã bị ghi hoặc bị đọc, cân nhắc thay các khóa liên quan theo quy trình quản trị thay đổi mạng.
4. Kiểm tra các bản sao lưu hoặc bundle đã gửi ra ngoài phạm vi quản trị, xử lý chúng như dữ liệu chứa credential và áp dụng chính sách lưu giữ hoặc thu hồi phù hợp.

1. Kiểm kê các triển khai Brocade SANnav và Brocade SANnav OVA, xác định chính xác build và nhánh phát hành đang chạy.
2. Rà soát application log liên quan đến việc tạo hoặc sửa IPsec policy để tìm pre-shared key hoặc giá trị credential tương đương.
3. Kiểm tra các system log và support bundle đã lưu trữ hoặc đã gửi cho bên thứ ba, đồng thời xác định ai có quyền đọc chúng.
4. Nếu phát hiện khóa đã xuất hiện trong log hoặc bundle, coi khóa đó là có khả năng bị lộ và thực hiện quy trình thay khóa tương ứng.
5. Có thể rà soát thêm telemetry xác thực và thay đổi IPsec để tìm hoạt động bất thường sau thời điểm có khả năng lộ khóa. Đây là biện pháp giám sát phòng ngừa, không phải indicator cụ thể được nhà cung cấp xác nhận.