کشف چند آسیب‌پذیری جدی در NAS لنوو

شرکت Lenovo چند آسیب‌پذیری حیاتی را در دستگاه‌های NAS این شرکت شناسایی کرد.

به گزارش افتانا (پایگاه خبری امنیت فناوری اطلاعات)، شرکت lenovo به تازگی ۹ آسیب‌پذیری با درجه حساسیت بالا را در ۲۰ محصول دستگاه‌های ذخیره‌ساز متصل به شبکه (NAS) خود از جمله LenovoEMC، Iomega و دستگاه‌های NAS با برند Lenovo، کشف کرده است.

کارشناسان امنیتی در این زمینه هشدار دادند با بهره‌برداری از یکی از چند آسیب‌پذیری تزریق دستور در سیستم‌عامل‌های دستگاه‌ها، یک مهاجم می‌تواند از راه دور از طریق root shell کنترل کامل دستگاه را به دست گیرد. مهاجم می‌تواند از این طریق اطلاعات شخصی یا اختصاصی ذخیره‌شده در دستگاه هدف را نابود کند و از آن برای بهره‌برداری از یک شبکه داخلی استفاده کند یا آن را به یک بات‌نت اضافه کند.

دستگاه‌های آسیب‌پذیر شامل هشت مدل (LenovoEMC NAS (PX، نه مدل (Iomega StorCenter (PX و IX و دستگاه‌های برند Lenovo شامل ix۴-۳۰۰d، ix۲ و EZ Media و Backup Center هستند.

در برخی از دستگاه‌های NAS مدل‌های Iomega ،Lenovo ،LenovoEMS دارای نسخه ۴,۱.۴۰۲.۳۴۶۶۲ و قدیمی‌تر، قابلیت تغییر گذرواژه برای یک کاربر احراز هویت شده، نیازی به ورود رمزعبور فعلی ندارد. درنتیجه مهاجم می‌تواند با دسترسی به توکن نشست کاربر، گذرواژه وی را تغییر دهد. این آسیب‌پذیری با شناسه CVE-2018-9082 معرفی شده‌است.

برای به‌دست آوردن دسترسی Shell، مهاجم باید از توالی چند آسیب‌پذیری سوءاستفاده کند. شروع حمله با فریب یک کاربر NAS احراز هویت شده انجام می‌شود تا وی به یک وب‌سایت ساخته‌شده توسط مهاجم مراجعه کند. در ادامه توکن نشست وی به سرقت می‌رود. سپس مهاجم آدرس IP استاتیک دستگاه را به‌دست می‌آورد. با داشتن IP، مهاجم می‌تواند حملات جعل درخواست میان‌وبی یا CSRF را انجام دهد و با افزایش دسترسی برای خود، دستورهای دلخواه را اجرا کند.

Lenovo در روز ۳ آگوست از وجود نقص‌ها آگاه شده‌است و در ۲۰ سپتامبر وصله‌های رفع‌کننده آنها را منتشر کرده‌است. شناسه آسیب‌پذیری‌ها موارد زیر هستند:

CVE-۲۰۱۸-۹۰۷۴، CVE-۲۰۱۸-۹۰۷۵، CVE-۲۰۱۸-۹۰۷۶، CVE-۲۰۱۸-۹۰۷۷، CVE-۲۰۱۸-۹۰۷۸، CVE-۲۰۱۸-۹۰۷۹، CVE-۲۰۱۸-۹۰۸۰، CVE-۲۰۱۸-۹۰۸۱ و CVE- ۲۰۱۸-۹۰۸۲.

نسخه‌های ۴,۱.۴۰۲.۳۴۶۶۲ و قبل‌تر آسیب‌پذیر هستند و کاربران باید به نسخه‌های ۴.۱.۴۰۴.۳۴۷۱۶ یا بالاتر به‌روزرسانی کنند. در صورتی که به‌روزرسانی برای کاربران ممکن نباشد، آنها می‌توانند با قطع دسترسی‌های عمومی، استفاده از دستگاه‌ها تنها روی شبکه‌های قابل اعتماد و کلیک روی لینک‌هایی که از منابع معتبر هستند، خطرات را کاهش دهند.