Исследователи из компании Armis продолжили изучать возможное применение уязвимостей под общим названием TLStorm, которые были детально описаны в марте 2022 года. Выяснилось, что корень проблем кроется в неправильном использовании NanoSSL, и очень похожие баги затрагивают коммутаторы производства Aruba и Avaya.
Напомню, что под именем TLStorm скрывались сразу три 0-day уязвимости, которые позволяли хакерам установить полный контроль над источниками бесперебойного питания (UPS) компании APC и осуществлять «экстремальные киберфизические атаки». Исследователи предупреждали, что успешное использование любой из уязвимостей может привести удаленному выполнению кода на устройстве и может использоваться для дальнейшего вмешательства в работу UPS с целью физически повредить сам девайс или другие устройства, подключенные к нему.
Так как проблемы TLStorm уходят корнями в использование TLS-библиотеки NanoSSL, созданной дочерней компании DigiCert, Mocana, исследователи проверили, какие еще устройства могут находиться в опасности. Оказалось, что набор уязвимостей TLStorm 2.0 делает сетевые коммутаторы Aruba и Avaya уязвимыми для удаленного выполнения кода, позволяя злоумышленнику захватить контроль над устройствами, перемещаться по сети жертвы и воровать конфиденциальные данные.
Сообщается, что проблемам подвержены следующие девайсы: Avaya ERS3500 Series, ERS3600 Series, ERS4900 Series и ERS5900 Series, а также Aruba Series 5400R, 3810 Series, 2920 Series, 2930F Series, 2930M Series, 2530 Series и 2540 Series.
Список «второй серии» уязвимостей TLStorm выглядит следующим образом:
- CVE-2022-23676 (9,1 балла по шкале CVSS) — две уязвимости, приводящие к повреждению информации памяти, в клиентской реализации RADIUS на устройствах Aruba;
- CVE-2022-23677 (9 баллов по шкале CVSS) — некорректное использование NanoSSL в нескольких интерфейсах коммутаторов Aruba;
- CVE-2022-29860 (9,8 балла по шкале CVSS) — переполнение хипа TLS reassembly в коммутаторах Avaya;
- CVE-2022-29861 (9,8 балла по шкале CVSS) — уязвимость переполнения стека во время парсинга HTTP-заголовков в коммутаторах Avaya;
- идентификатор CVSS не присвоен — уязвимость обработки запросов HTTP POST при переполнении хипа на старых устройствах Avaya, производство которых уже прекращено.
Эксперты Armis уведомили разработчиков Aruba и Avaya об уязвимостях TLStorm 2.0 еще три месяца назад. В настоящее время в компаниях сообщают, что уже предупредили клиентов о потенциальной опасности и выпустили исправления, устраняющие большинство багов.
