Cybersecurity-Forscher haben bis zu fünf schwerwiegende Sicherheitslücken in der Implementierung des TLS-Protokolls in verschiedenen Modellen von Aruba- und Avaya-Netzwerk-Switches aufgedeckt, die missbraucht werden könnten, um Fernzugriff auf Unternehmensnetzwerke zu erhalten und wertvolle Informationen zu stehlen.
Die Ergebnisse folgen auf die Veröffentlichung von TLStorm im März, einer Reihe von drei kritischen Schwachstellen in APC Smart-UPS-Geräten, die es einem Angreifer ermöglichen, die Kontrolle über die Geräte zu übernehmen und sie im schlimmsten Fall physisch zu beschädigen.
Das IoT-Sicherheitsunternehmen Armis, das die Schwachstellen aufdeckte, stellte fest, dass die Designfehler auf eine gemeinsame Quelle zurückgeführt werden können: den Missbrauch von NanoSSL, einer standardbasierten SSL-Entwickler-Suite von Mocana, einer Tochtergesellschaft von DigiCert.
Die neue Reihe von Schwachstellen, genannt TLStorm 2.0, macht Aruba- und Avaya-Netzwerk-Switches anfällig für die Ausführung von Remote-Code, so dass ein Angreifer die Geräte übernehmen, sich seitlich im Netzwerk bewegen und vertrauliche Daten auslesen kann.
Zu den betroffenen Geräten gehören die Avaya ERS3500 Series, ERS3600 Series, ERS4900 Series und ERS5900 Series sowie die Aruba 5400R Series, 3810 Series, 2920 Series, 2930F Series, 2930M Series, 2530 Series und 2540 Series.
Armis führt die Schwachstellen auf einen „Grenzfall“ zurück, d. h. auf die Nichteinhaltung der Richtlinien für die NanoSSL-Bibliothek, die zur Ausführung von Remote-Code führen kann. Die Liste der Bugs ist wie folgt
CVE-2022-23676 (CVSS-Score: 9.1) – Zwei Schwachstellen in der RADIUS-Client-Implementierung von Aruba-Switches, die den Speicher beschädigen
CVE-2022-23676 (CVSS-Score: 9.1) – Zwei Sicherheitslücken in der RADIUS-Client-Implementierung von Aruba-Switches CVE-2022-23677 (CVSS-Score: 9.0) – NanoSSL-Missbrauch auf mehreren Schnittstellen in Aruba-Switches
(CVSS-Score: 9.0) – NanoSSL-Missbrauch an mehreren Schnittstellen in Aruba-Switches CVE-2022-29860 (CVSS-Score: 9.8) – TLS Reassembly Heap Overflow-Schwachstelle in Avaya-Switches
(CVSS score: 9.8) – TLS Reassembly Heap Overflow Schwachstelle in Avaya Switches CVE-2022-29861 (CVSS score: 9.8) – HTTP Header Parsing Stack Overflow Schwachstelle in Avaya Switches
(CVSS score: 9.8) – HTTP Header Parsing Stack Overflow Schwachstelle in Avaya Switches HTTP POST Request Handling Heap Overflow Schwachstelle in einer abgekündigten Avaya Produktlinie (keine CVE)
Noch besorgniserregender ist, dass die in Avaya-Switches gefundenen Schwachstellen Zero-Click sind, d.h. sie können über nicht authentifizierte Netzwerkpakete ohne jegliche Benutzerinteraktion aktiviert werden.
„Diese Forschungsergebnisse sind bedeutsam, da sie zeigen, dass die Netzwerkinfrastruktur selbst gefährdet ist und von Angreifern ausgenutzt werden kann, was bedeutet, dass die Netzwerksegmentierung allein als Sicherheitsmaßnahme nicht mehr ausreicht“, so Barak Hadad, Forschungsleiter bei Armis.
Unternehmen, die betroffene Avaya- und Aruba-Geräte einsetzen, wird dringend empfohlen, die Patches zu installieren, um mögliche Angriffsversuche zu entschärfen.