Tre vulnerabilità nei gli strumenti di backup e recuperto dati di EMC e VMWare

Sono state recentemente riscontrate un terzetto di vulnerabilità critiche in alcuni strumenti di backup e recupero dati di EMC e VMware. Stiamo parlando di EMC Avamar, EMC NetWorker, EMC Integrated Data Protection Appliance e vSphere Data Protection, per i quali EMC e VMware sono al lavoro per realizzare le opportune patch correttive, dal momento che i problemi sono risolvibili solo mediante aggiornamento.

La prima vulnerabilità, identificata dalla sigla CVE-2017-15548, permette ad un attaccante di ottenere l'accesso root al server, consentendo per esempio di poter mettere le mani direttamente dei backup ivi presenti e di recuperare immagini di macchine virtuali, backup di database e altri dati conservati nel sistema intaccato dalla vulnerabilità. La seconda vulnerabilità, CVE-2017-15549, rende invece possibile all'attaccante di caricare file dannosi in qualsiasi posizione sul filesystem del server, senza che sia necessaria alcuna autenticazione.

Queste due vulnerabilità erano già state individuate da EMC nelle scorse settimane, mentre la terza vulnerabilità, CVE-2017-15550, è stata riconosciuta da VMware la scorsa settimana. In questo caso si tratta di un bug di privilege escalation che potrebbe consentire ad un accesso autenticato di basso livello di accedere a file all'interno di un server usando una richiesta web opportunamente costruita per sfruttare un meccanismo di "path traversal" per muoversi all'interno della struttura della directory del filesystem usato dall'applicazione.

Tutte queste vulnerabilità perché possano essere sfruttate richiedono l'accesso diretto alla rete in cui operano i server e non dovrebbero essere sfruttabili da remoto tramite Internet almeno se i sistemi di backup sono collocati su una rete adeguatamente separata dal web. Si tratta tuttavia di vulnerabilità che potrebbero essere sfruttate se i malintenzionati hanno già guadagnato una presenza in una rete bersaglio sfruttando altri punti d'accesso o altre vulnerabilità.