Lỗi thiếu xác thực cho phép truy cập API đặc quyền trong Brocade Active Support Connectivity Gateway

Một lỗi xác thực tồn tại trong thành phần dịch vụ quản trị của Brocade ASCG. Người dùng mạng chưa được xác thực có thể gửi các API request trực tiếp để thực hiện những hành động đặc quyền, bao gồm truy cập dữ liệu ánh xạ cấu hình hệ thống nhạy cảm, sửa đổi inventory của các thiết bị được quản lý và thay đổi các thiết lập vận hành. Lỗ hổng này ảnh hưởng đến mọi phiên bản Brocade ASCG trước 3.5.0.

• Brocade Active Support Connectivity Gateway: bản ghi chuẩn xác định các phiên bản có giá trị bắt đầu từ 0 và thỏa điều kiện lessThan: 3.5.0 là bị ảnh hưởng. Trạng thái mặc định bên ngoài phạm vi này là không bị ảnh hưởng theo bản ghi.
• Brocade ASCG Standard deployment: advisory của Brocade mô tả phạm vi bị ảnh hưởng là các triển khai trước 3.5.0 và xác định thành phần là CDA API.
• Trang advisory cũng liệt kê Brocade ASC-Gateway OVA và Brocade Support Link trong danh sách sản phẩm, nhưng không đưa ra ranh giới phiên bản riêng cho từng mục này. Không nên tự suy rộng phạm vi ảnh hưởng riêng cho các mục đó ngoài phần Products Affected đã được nêu rõ.

Lỗi này thuộc CWE-306: Missing Authentication for Critical Function trong thành phần dịch vụ quản trị của Brocade Active Support Connectivity Gateway. Advisory của Brocade xác định thành phần liên quan là CDA API. Người dùng chưa xác thực trên mạng lân cận có thể gửi trực tiếp các API request để thực hiện những thao tác vốn yêu cầu quyền quản trị, gồm đọc dữ liệu ánh xạ cấu hình hệ thống, sửa danh mục thiết bị được quản lý và thay đổi các thiết lập vận hành. Bản ghi mô tả điều kiện khai thác là không cần credential, không cần user interaction và có độ phức tạp thấp, nhưng các endpoint cụ thể, HTTP method, định dạng request và cơ chế kiểm tra quyền bị thiếu hiện chưa được công bố. Vì vậy, không nên suy luận từ bằng chứng hiện có rằng lỗi cho phép thực thi mã trên hệ điều hành hoặc truy cập trực tiếp vào mọi thiết bị được quản lý.

Lỗi có thể bị khai thác qua mạng lân cận hoặc mạng cục bộ đến dịch vụ quản trị Brocade ASCG. Kẻ tấn công không cần xác thực và không cần nạn nhân tương tác; bản ghi mô tả việc gửi trực tiếp API request với độ phức tạp thấp. Phạm vi mạng lân cận giới hạn vị trí của kẻ tấn công theo bằng chứng hiện có, nhưng không làm giảm tính nghiêm trọng của việc các chức năng đặc quyền thiếu kiểm tra xác thực. Bản ghi chuẩn không cung cấp trạng thái khai thác thực tế hoặc public exploit, và advisory của Brocade không nêu chi tiết về chiến dịch, exploit công khai hay chỉ báo xâm nhập.

Lỗi cho phép một người dùng trên mạng lân cận thực hiện các chức năng quản trị mà không cần quyền xác thực. Kết quả trực tiếp được mô tả gồm đọc dữ liệu ánh xạ cấu hình hệ thống, sửa managed device inventory và thay đổi operational settings, tương ứng với nguy cơ mất bí mật và mất toàn vẹn trong mặt phẳng quản trị. Các thay đổi này có thể dẫn đến cấu hình sai, thông tin quản lý không đáng tin cậy hoặc gián đoạn hoạt động quản trị, nhưng mức độ ảnh hưởng phụ thuộc vào cách ASCG được triển khai. Bằng chứng hiện có không xác nhận quyền truy cập shell, thực thi mã, persistence hoặc kiểm soát trực tiếp các thiết bị được quản lý.

Lỗi có thể tạo ra các hậu quả vận hành và dữ liệu sau:

• Bí mật: Người dùng trái phép có thể đọc dữ liệu ánh xạ cấu hình hệ thống nhạy cảm.
• Toàn vẹn: Danh mục thiết bị được quản lý và các thiết lập vận hành có thể bị sửa đổi mà không qua xác thực.
• Vận hành: Các thay đổi trái phép đối với inventory hoặc operational settings có thể làm sai lệch quản trị, giám sát hoặc cấu hình hệ thống; mức độ ảnh hưởng thực tế phụ thuộc vào các chức năng mà instance cung cấp.
• Giới hạn phạm vi: Bằng chứng hiện có yêu cầu khả năng tiếp cận mạng lân cận, và không xác nhận việc thực thi mã hệ điều hành, duy trì truy cập hay xâm nhập trực tiếp vào các thiết bị được quản lý.

1. Cập nhật lên Brocade ASCG 3.5.0: đây là bản được bản ghi và advisory của Brocade xác nhận có security update cho lỗi này.
2. Kiểm tra từng deployment và xác nhận phiên bản sau cập nhật, đặc biệt với các triển khai được đóng gói dưới dạng Brocade ASC-Gateway OVA hoặc có liên quan đến Brocade Support Link. Không coi một bản sửa cho một nhánh là bằng chứng rằng mọi nhánh song song hoặc nhánh khác đã được xử lý.
3. Trong thời gian chưa cập nhật, hạn chế khả năng truy cập dịch vụ quản trị từ mạng lân cận xuống các mạng quản trị tin cậy như một biện pháp phòng ngừa. Đây là biện pháp giảm phơi lộ, không phải workaround chính thức được advisory xác nhận.
4. Sau cập nhật, xác minh rằng các API quản trị yêu cầu authentication và rà soát audit log nếu có. Advisory hiện không công bố endpoint cụ thể hoặc thủ tục kiểm thử chi tiết.

1. Kiểm kê các triển khai Brocade Active Support Connectivity Gateway, bao gồm loại triển khai và phiên bản đang chạy.
2. Đánh dấu mọi phiên bản thuộc phạm vi lessThan: 3.5.0 để xử lý ưu tiên, đồng thời xác định liệu dịch vụ quản trị và CDA API có thể được truy cập từ mạng lân cận hay không.
3. Nếu hệ thống có API audit log hoặc service log, rà soát các request không có ngữ cảnh xác thực và những thay đổi bất thường đối với dữ liệu ánh xạ cấu hình, danh mục thiết bị hoặc operational settings.
4. Xem các bước rà soát log là biện pháp kiểm tra thận trọng, không phải IOC đã được Brocade xác nhận. Việc không thấy sự kiện phù hợp trong log không chứng minh hệ thống không bị ảnh hưởng hoặc chưa từng bị truy cập trái phép.