Lỗi deserialization không giới hạn trong OpenSearch và Amazon OpenSearch Service cho phép thực thi mã từ xa

Lỗi giải tuần tự hóa không giới hạn đối với dữ liệu không đáng tin cậy trong thành phần phân trang cursor của OpenSearch SQL plugin cho phép người dùng từ xa đã xác thực với quyền đọc/tìm kiếm cơ bản thực thi mã tùy ý trên máy chủ bằng cách gửi tham số cursor được tạo riêng đến endpoint plugins/sql.

• OpenSearch SQL Plugin, triển khai tự quản lý: Bản ghi CNA xác định trạng thái mặc định là unaffected và liệt kê các phiên bản từ 2.8 đến 3.6, bao gồm cả hai đầu mút, là affected. AWS xác định các bản sửa lỗi là 2.19.6 và 3.7. Do dải custom trong bản ghi và cách AWS nêu bản sửa lỗi theo nhánh không tạo thành một khoảng số đơn giản, hãy dùng ánh xạ bản sửa lỗi theo nhánh của nhà cung cấp khi đối chiếu phiên bản cài đặt.
• Amazon OpenSearch Service, dịch vụ được quản lý: Bản ghi CNA liệt kê các phiên bản từ 2.9 đến 3.5, bao gồm cả hai đầu mút, là affected và có trạng thái mặc định unaffected. AWS cho biết các phiên bản dịch vụ bị ảnh hưởng được xử lý bằng service software update; advisory không đưa ra một engine release boundary riêng cho dịch vụ này.

Lỗ hổng CWE-502 nằm trong thành phần cursor pagination của OpenSearch SQL plugin. Thành phần này xử lý dữ liệu cursor do người dùng kiểm soát bằng cơ chế Java deserialization không được giới hạn đầy đủ, cho phép người dùng từ xa đã xác thực và có quyền đọc/tìm kiếm cơ bản gửi tham số cursor được tạo riêng đến endpoint plugins/sql. Khi điều kiện này được đáp ứng, mã tùy ý có thể được thực thi trên máy chủ. Bản ghi không cung cấp chi tiết về thư viện serialization, gadget chain, payload cụ thể hoặc cấu hình bổ sung có thể làm thay đổi khả năng tiếp cận.

Lỗ hổng có thể bị khai thác qua mạng bởi người dùng đã xác thực với quyền đọc/tìm kiếm cơ bản. Không yêu cầu tương tác của người dùng khác và bản ghi đánh giá điều kiện khai thác là thấp. Bản ghi được cung cấp đánh dấu public_exploit là false, đồng thời không xác lập trạng thái known-exploited hoặc chiến dịch ransomware. Điều này không chứng minh rằng chưa từng có hoạt động khai thác trong mọi môi trường.

Lỗi cho phép một tài khoản từ xa có quyền thấp hơn gửi dữ liệu cursor độc hại qua endpoint SQL và đạt tới thực thi mã trên máy chủ. Kết quả kỹ thuật có thể ảnh hưởng đồng thời đến tính bí mật, toàn vẹn và sẵn sàng của dữ liệu hoặc dịch vụ trong phạm vi quyền mà tiến trình máy chủ có được. Kẻ tấn công phải có thông tin xác thực và quyền đọc/tìm kiếm cơ bản, nhưng không cần người dùng khác tương tác. Bản ghi không thiết lập tác động vượt ra ngoài máy chủ bị khai thác, vì vậy ảnh hưởng đến hệ thống liên quan hoặc dịch vụ khác vẫn phụ thuộc vào cấu hình triển khai và chưa được xác nhận.

Khai thác thành công có thể cho phép mã tùy ý chạy trong ngữ cảnh của tiến trình OpenSearch hoặc dịch vụ liên quan. Tùy theo quyền của tiến trình và các biện pháp cô lập, hậu quả có thể gồm:

• Đọc hoặc thay đổi dữ liệu được lập chỉ mục và thông tin cấu hình mà máy chủ có thể truy cập.
• Làm gián đoạn hoạt động của dịch vụ tìm kiếm hoặc gây suy giảm tính sẵn sàng.
• Sử dụng quyền của máy chủ để thực hiện các thao tác trái phép trong phạm vi triển khai.

Lỗ hổng không cho phép truy cập từ unauthenticated user theo thông tin hiện có, vì kẻ tấn công cần một tài khoản hợp lệ với quyền đọc/tìm kiếm cơ bản. Mức độ ảnh hưởng sau khi thực thi mã phụ thuộc vào quyền tiến trình, kiến trúc cụm và các biện pháp kiểm soát của từng môi trường.

1. Triển khai tự quản lý: Nâng cấp OpenSearch SQL plugin lên 2.19.6 cho nhánh 2.x hoặc 3.7 cho nhánh 3.x, theo đúng nhánh đang vận hành. Không tự động coi một nhánh song song hoặc bản phát hành không được nêu rõ là đã được sửa.
2. Amazon OpenSearch Service: Áp dụng service software update mới nhất cho từng domain bị ảnh hưởng. AWS cho biết không cần nâng cấp engine version; domain bật automatic software updates sẽ nhận bản cập nhật trong off-peak window tiếp theo.
3. Nếu sử dụng fork hoặc mã dẫn xuất, đưa các thay đổi sửa lỗi của nhà cung cấp vào nhánh tương ứng và xác minh lại phiên bản plugin sau khi triển khai.
4. AWS không liệt kê workaround. Vì vậy, không coi biện pháp giảm thiểu tự xây dựng là thay thế cho bản cập nhật đã được xác nhận; nếu chưa thể cập nhật, cần làm việc với nhà cung cấp để có hướng dẫn phù hợp với kiến trúc cụ thể.

1. Kiểm kê các triển khai OpenSearch tự quản lý có cài đặt hoặc bật OpenSearch SQL plugin, sau đó ghi nhận phiên bản thực tế của plugin và engine.
2. Đối chiếu từng nhánh với các ranh giới bị ảnh hưởng và bản sửa lỗi do nhà cung cấp công bố; không suy luận trạng thái an toàn chỉ từ việc sản phẩm đang chạy một nhánh mới hơn nhưng chưa được xác minh.
3. Với Amazon OpenSearch Service, kiểm tra trạng thái service software update của từng domain thay vì chỉ kiểm tra engine version, vì bản sửa lỗi được phân phối qua service software update.
4. Rà soát request log và audit log đối với các request đến plugins/sql có tham số cursor, đặc biệt khi request xuất phát từ tài khoản có quyền đọc/tìm kiếm cơ bản. Đây là kiểm tra săn tìm thận trọng dựa trên đường khai thác đã mô tả, không phải IOC đã được xác nhận.
5. Sau khi cập nhật, xác minh plugin và service software đã chạy bản sửa lỗi rồi tiếp tục theo dõi các request bất thường. Việc không thấy request phù hợp không chứng minh hệ thống không bị ảnh hưởng.