🚀 أصبحت CloudSek أول شركة للأمن السيبراني من أصل هندي تتلقى استثمارات منها ولاية أمريكية صندوق
اقرأ المزيد
ملخص تنفيذي
- كلاود سيكاكتشف فريق أبحاث تهديدات العملاء العديد من الأصول على الإنترنت التي لا تزال عرضة لـ CVE-2017-7269، وهي ثغرة أمنية في تنفيذ التعليمات البرمجية عن بُعد (RCE) تؤثر على IIS v6.0 (2003 R2).
- هذه ثغرة Buffer Overflow موجودة في خدمة WebDAV الخاصة بـ IIS v6.0 ويمكن استغلالها إذا تم تمكين رأس PROPFIND.
- غالبًا ما يشار إلى هذه الثغرة الأمنية باسم Immortal CVE، حيث يتم تسليط الضوء على المشكلة في منتج في مرحلة نهاية عمره (EOL) بالفعل. وبالتالي، لم تنشر Microsoft مطلقًا تصحيحًا رسميًا.
التحليل
- منصة CloudSek الرائدة لمراقبة المخاطر الرقمية الجيل السادس عشر يقوم بتشغيل عمليات فحص التكوين الخاطئ للتطبيقات الروتينية كجزء من وظيفة مراقبة البنية التحتية.
- خلال إحدى عمليات الفحص هذه، وجدنا أن هناك العديد من الأصول التي لا تزال عرضة لخلل قديم، يطلق عليه اسم ExplodingCan.
حول ثغرة إكسبلودينغ كان
- تم اكتشاف هذه الثغرة الأمنية الخطيرة في عام 2017، وهي تتيح للمهاجم تشغيل تعليمات برمجية عشوائية على الأنظمة الضعيفة، مع امتيازات المستخدم، من خلال استغلال خطأ في التأليف الموزع على الويب وإصداره (WebDAV).
- WebDAV عبارة عن مجموعة من الامتدادات لبروتوكول نقل النص التشعبي (HTTP)، والذي يسمح لوكلاء المستخدمين بتأليف المحتوى بشكل مشترك مباشرة في خادم ويب HTTP، من خلال تسهيل التحكم في التزامن وعمليات مساحة الاسم. يتيح ذلك عرض الويب كوسيط تعاوني قابل للكتابة وليس فقط كوسيلة للقراءة فقط.
- بمجرد إثبات ذلك، يتم تمكين عنوان PROPFIND على الهدف، ويمكن تأكيد ثغرة ExplodingCan. يمكن القيام بذلك بمساعدة الأمر cURL التالي.
- إذا قام الأمر بإرجاع رمز استجابة HTTP 411، يُقال أن النظام المستهدف ضعيف (كما هو موضح في الصورة أعلاه).
- بينما إذا قام الأمر بإرجاع رموز استجابة HTTP 401 أو 503 أو 403، فسيشير ذلك إلى أن الهدف ليس عرضة للخطر.
معلومات من OSINT
- تحتوي برامج WannaCry الضارة على العديد من الثغرات الأمنية لمدة 0 يوم في ترسانتها، مما يجعلها واحدة من أكثر حملات البرامج الضارة كارثية التي يتم تسجيلها. وكانت إكسبلودينغ كان، CVE-2017-7269، واحدة منها.
- ومن المعروف أيضًا أن هذه الثغرة الأمنية قد تم استغلالها من قبل الجهات الفاعلة الصينية لتعدين عملة Electroneum المشفرة.
- استنادًا إلى محرك البحث Shodan، هناك أكثر من مليون خادم لا يزال من المحتمل أن يكون عرضة لـ CVE-2017-7269. ومع ذلك، من الصعب التأكد من الرقم الدقيق، حيث يجب أن يحتوي الخادم أيضًا على خدمة WebDAV وتمكين رأس طلب PROPFIND.
- تم الاستفادة من هذه الثغرة الأمنية باستمرار في هجمات البرامج الضارة وبرامج الفدية.
- يمكن للجهات الفاعلة في مجال التهديد الاستفادة من هذه الثغرة الأمنية للحصول على موطئ قدم أولي على الأنظمة المستهدفة. ثم تقوم البرامج الضارة بتثبيت التعليمات البرمجية الضارة والاستيلاء على الخادم وحتى السماح بتصعيد الامتيازات.
- توفر العديد من أكواد الاستغلال المجانية على منصات متعددة مفتوحة المصدر مثل جيت هاب، يجعل من السهل استغلال هذه الثغرة الأمنية.
