Критична уязвимост в Secret Server позволява неоторизиран достъп

Пресиан Янкулов

16/04/2024, 18:35

Dilinea, производителя на популярния Secret Server, публикуваха пачове за критична уязвимост позволяваща на неоторизирани нападатели да откраднат пароли и тайни (secrets). Уязвимостта е открита от Johnny Yu, който вече е публикувал пълната информация в своя блог: All Your Secrets Are Belong To Us” — A Delinea Secret Server AuthN/AuthZ Bypass

Атаката е възможна благодарение на слабост в логиката на SOAP API интерфейса. Производителя вече е блокирал този endpoint за всички свои клиенти на “облачна услуга”, а за тези с on-prem инсталации се препоръчва да надградят до версия 11.7.000001.

Анализът е съсредоточен върху версия 16.000004 на продукта, която се предлага за локално инсталиране (On-Premises) и е разработена на платформата ASP.NET. Основният проблем, идентифициран от изследователя, е свързан с метода на декриптиране и проверка на валидността на API токените, използвани за достъп до уеб услугите на системата.

Използвайки декомпилиран код, изследователят е открил, че функцията за проверка на токените (IsValidToken) използва хардкоднат ключ за декриптиране, което представлява значителен риск за сигурността. По-нататъшни анализи са показали, че е възможно да се създаде фалшив API токен, който системата приема за валиден, давайки достъп до административен профил.

Освен това, са открити и проблеми с механизма за проверка на изтичане на валидността на токените което дава възможност за ескалация на привилегиите, като позволяват на потребители с по-ниско ниво на достъп да манипулират системата така, че да получат административни права.

Тези открития са били потвърдени и след последното обновление на продукта до версия 11.7.000000, като Delinea все още не е адресирала проблемите в пълна степен. Въпреки усилията за поправка, продуктът остава уязвим, което повишава рисковете за бизнесите, използващи тази платформа за защита на своите конфиденциални данни.

Изследването подчертава необходимостта от по-строги мерки за сигурност при разработката на софтуер, особено в области, където се управляват привилегировани достъпи и чувствителна информация.

Security Advisory