Charlie Osborne Bidragyder
Charlie Osborne er en cybersikkerhedsjournalist og fotograf, der skriver for ZDNet og CNET fra London.
Fuld biografi udgivet i Zero Day den 4. februar 2022 | Emne: Sikkerhed
CISA har advaret om kritiske sårbarheder i Airspan Networks Mimosa, hvoraf nogle har opnået CVSS-score på 10, den højest mulige.
Når sikkerhedssårbarheder er alvorlige, og de produkter, de påvirker, er populære eller kritiske for driften af nøgleindustrier, vil US Cybersecurity and Infrastructure Security Agency (CISA) ofte udsende vejledninger for at sikre, at de når opmærksomheden fra IT-administratorer og sikkerhedspersonale.
Torsdag udsendte CISA en sådan meddelelse til Airspan Networks Mimosa. Mimosa-enheder tilbydes industri- og virksomhedsspillere til punkt-til-multipunkt-netværk (PTMP).
Syv sårbarheder er inkluderet i vejledningen, som beskriver fejl, der tjener sig selv til CVSS v3-basisscore, der spænder fra 6,5 til 10,0.
Airspan Networks-produkterne påvirket af sårbarhederne er Mimosa Management Platform (MMP) før v1.0.3; PTP C-serie-enheder, der kører firmware før v2.8.6.1, og både PTMP C-series og A5x-enheder, der kører firmware under v2.5.4.1.
Noam Moshe fra Claroty rapporterede sikkerhedsproblemerne, som siges at kunne udnyttes eksternt og med lav angrebskompleksitet.
“Vellykket udnyttelse af disse sårbarheder kan give en angriber mulighed for at få brugerdata (herunder organisationsdetaljer) og andre følsomme data, kompromittere Mimosas AWS cloud EC2-instans og S3-buckets og udføre uautoriseret fjernkode på alle cloud- tilsluttede Mimosa-enheder,” siger CISA.
Sårbarhederne er nedenfor:
CVE-2022-21196 (CVSS 10.0): En ukorrekt godkendelsesfejl forårsaget af manglende gennemførelse af autentificeringstjek på tværs af flere API-ruter, hvilket fører til lammelsesangreb, informationslækager og fjernudførelse af kode (RCE) ). CVE-2022-21141 (CVSS 10.0): Yderligere fejl ved at udføre autorisationskontrol af API-funktioner, hvilket fører til de samme angrebsvektorer. CVE-2022-21215(CVSS 10.0): En serverside request forgery (SSRF) fejl, der kan udnyttes af en angriber til at tvinge en server til at give adgang til backend API'er. CVE-2022-21176 (CVSS 8.6): Ukorrekt neutralisering af elementer i SQL-kommandoer. En mangel på rensning af brugerinput kan føre til SQL-injektioner og datalæk. CVE-2022-0138 (CVSS 7.5): En deserialiseringsfunktion validerer eller kontrollerer ikke datainput korrekt, hvilket gør det muligt at oprette vilkårlige klasser. CVE-2022-21143(CVSS 9.8): Brugerinput er ikke korrekt renset i nogle områder, hvilket giver angribere mulighed for at udføre vilkårlige kommandoer. CVE-2022-21800 (CVSS 6.5): Produktlinjen bruger MD5-algoritmen til hash med adgangskode, men det lykkedes ikke at salte hashen, hvilket medførte en højere risiko for, at følsomme data er modtagelige for crack-forsøg.
Der er ingen beviser for, at sårbarhederne er blevet udnyttet i naturen. Airspan Networks anbefaler, at kunder opgraderer til MMP v.1.0.4 eller nyere, PTP C5x/C5c (v2.90 eller nyere) og PTMP C-series/A5x v.2.9.0 eller nyere.
I januar opdaterede CISA sit katalog over Known Exploited Vulnerabilities med 13 nye sårbarheder. I alt havde ni en udbedringsdato den 1. februar, og fire har en udbedringsdato den 18. juli.
Feglene inkluderer en kommandoindsprøjtningsfejl i systeminformationsbiblioteket for node.js, en Drupal ubegrænset fil uploadproblem og sårbarheder ved kommandoindsprøjtning i Nagios XI-operativsystemet.
ZDNet har kontaktet Airspan Networks Mimosa-teamet, og vi vil opdatere, når vi hører tilbage.
Tidligere og relateret dækning
CISA tilføjer 13 udnyttede sårbarheder til listen, 9 med afhjælpningsdato 1. februar
CISA advarer – opgrader din cybersikkerhed nu for at forsvare sig mod “potentielle kritiske trusler”
CISA-direktør: 'Vi har ikke set væsentlige indtrængen' fra Log4j — endnu
Har du et tip? Kom sikkert i kontakt via WhatsApp | Signal på +447713 025 499 eller over på Keybase: charlie0
Security TV | Datastyring | CXO | Datacentre