Хакеры используют критическую ошибку в продуктах Array Networks SSL VPN

Американское агентство по киберзащите получило доказательства того, что хакеры активно эксплуатируют уязвимость удаленного выполнения кода в SSL VPN-продуктах Array Networks AG и vxAG ArrayOS.

Проблема безопасности отслеживается как CVE-2023-28461, ей присвоен критический балл серьезности 9.8, и агентство включило ее в каталог известных эксплуатируемых уязвимостей (KEV).

Ошибка может быть использована через уязвимый URL-адрес и представляет собой проблему неправильной аутентификации, которая позволяет удаленно выполнить код в Array AG Series и vxAG версии 9.4.0.481 и более ранних.

«(CVE-2023-28461 - это) [...] уязвимость в веб-безопасности, которая позволяет злоумышленнику просматривать файловую систему или выполнять удаленный код на шлюзе SSL VPN, используя атрибут flags в заголовке HTTP без аутентификации», - говорится в бюллетене безопасности производителя.

Дефект был раскрыт 9 марта прошлого года, и компания Array Networks устранила его примерно неделю спустя, выпустив релиз Array AG 9.4.0.484.

Array Networks AG Series (аппаратные устройства) и vxAG Series (виртуальные устройства) - это продукты SSL VPN, обеспечивающие безопасный удаленный и мобильный доступ к корпоративным сетям, корпоративным приложениям и облачным сервисам.

По данным производителя, их используют более 5 000 клиентов по всему миру, включая предприятия, поставщиков услуг и государственные учреждения.

CISA не предоставило никаких подробностей о том, кто использует уязвимость и на какие организации она направлена, но добавило ее в каталог известных эксплуатируемых уязвимостей (KEV) «на основании доказательств активной эксплуатации».

Агентство рекомендует всем федеральным агентствам и организациям критической инфраструктуры либо применить обновления безопасности и доступные средства защиты до 16 декабря, либо прекратить использование продукта.

Обновления безопасности для затронутых продуктов доступны через портал поддержки Array. Кроме того, производитель приводит в рекомендации по безопасности набор команд для устранения уязвимости, если обновления не могут быть установлены немедленно.

Однако организациям следует сначала проверить действие этих команд, поскольку они могут негативно повлиять на функциональность Client Security, способность VPN-клиента автоматически обновляться и функцию Portal User Resource.