3 vulnerabilități ale HP Device Manager pot permite atacatorilor să acceseze sistemele de la distanță

În septembrie 2020, HP a anunțat că aplicația HP Device Manager are trei vulnerabilități de securitate importante. Exploatate împreună, ele permiteau unui atacator să preia controlul serverului pe care rula aplicația, cu cele mai mari drepturi din Windows. Știrea are câțiva ani, dar lecțiile ei sunt valabile și astăzi pentru orice aplicație de administrare a calculatoarelor.

HP Device Manager este un program creat de HP pentru ca administratorii de sistem să poată gestiona centralizat, de pe un server, calculatoarele de tip HP Thin Client.

Care sunt cele trei vulnerabilități?

Cele trei vulnerabilități au fost notate în referințele oficiale cu CVE-2020-6925, CVE-2020-6926 și CVE-2020-6927. Au fost descoperite de cercetătorul în securitate Nicky Bloor.

• CVE-2020-6925 – o implementare slabă a criptării, care permitea atacatorilor să spargă parolele utilizatorilor locali prin atacuri de tip dicționar.
• CVE-2020-6926 – o vulnerabilitate a componentei de comunicare la distanță (Remote Method Invocation), prin care atacatorii puteau accesa sistemul de la distanță, fără autentificare. A primit scorul de gravitate 9,9 din 10.
• CVE-2020-6927 – permitea atacatorilor să obțină cele mai mari privilegii pe server, printr-un cont ascuns al bazei de date PostgreSQL integrate. Contul, numit „dm_postgres”, avea drepturi depline asupra bazei de date, iar parola lui era un singur spațiu.

Ne putem proteja de aceste vulnerabilități?

Da. La momentul anunțului, nu exista o actualizare care să rezolve toate cele trei probleme. HP Device Manager 5.0.4 a remediat vulnerabilitatea CVE-2020-6927, iar pentru celelalte HP a publicat măsuri de protecție, rezumate de Tenable:

• accesul la porturile 1099 și 40002 ale serverului se permite doar de pe calculatoarele de încredere sau doar local;
• portul bazei de date PostgreSQL (40006) se limitează, din firewall-ul Windows, doar la accesul local;
• parola contului „dm_postgres” se schimbă sau contul se șterge.

Firmele care foloseau o bază de date externă Microsoft SQL Server, fără serviciul PostgreSQL integrat, nu erau afectate de CVE-2020-6927.

Dacă folosiți încă HP Device Manager, instalați cea mai nouă versiune disponibilă și verificați în buletinul de securitate HP că problemele sunt rezolvate pentru versiunea dvs. Mai multe despre descoperire găsiți în articolul publicat atunci de The Register.

Chiar și așa, o politică serioasă de securitate reduce mult riscul. Un firewall bine configurat, o soluție de securitate administrată centralizat și o rețea segmentată îngreunează mult accesul atacatorilor la aceste sisteme de la distanță.

Ce lecții rămân valabile pentru firmele de azi?

Aplicațiile de administrare a calculatoarelor sunt printre țintele preferate ale atacatorilor, pentru că au drepturi asupra tuturor calculatoarelor pe care le gestionează: cine controlează consola le controlează pe toate. În iulie 2021, de pildă, atacatorii REvil au folosit aplicația de administrare Kaseya VSA ca să ajungă în lanț la firmele clienților. Detalii în articolul despre ransomware as a service (RaaS).

Câteva reguli simple:

• Țineți o evidență a aplicațiilor de administrare din firmă: consolele pentru calculatoare, imprimante, camere, rețea și backup. Una uitată nu mai primește actualizări.
• Nu expuneți consolele de administrare pe internet. Accesul se face din rețeaua internă sau printr-un VPN cu autentificare în doi pași.
• Schimbați parolele implicite și verificați în documentație ce conturi de serviciu creează aplicația la instalare.
• Urmăriți buletinele de securitate ale producătorilor și instalați rapid actualizările critice. Catalogul agenției americane CISA cu vulnerabilitățile exploatate activ (Known Exploited Vulnerabilities) arată ce trebuie actualizat cu prioritate.
• Păstrați un backup al serverelor de administrare, separat de rețea, ca să le puteți reface dacă sunt compromise.

Genul acesta de informări sunt foarte utile pentru administratorii de sistem, întrucât aceștia pot lua măsuri pentru a proteja infrastructurile de care se ocupă.

RezolvIT este o firmă de servicii IT gestionate din București, certificată ISO/IEC 27001, care pune mare preț pe securitate. Ne ocupăm de Mentenanță IT, inclusiv de actualizarea sistemelor, de Securitate IT și de Backup as a Service, pentru firme de orice mărime, de la câteva calculatoare la filialele multinaționalelor. Pornim de la un Audit IT gratuit.