Investigadores de ciberseguridad han revelado múltiples vulnerabilidades en un software controlador de terceros desarrollado por Eltima que han sido «heredadas involuntariamente» por soluciones de escritorio en la nube como Amazon Workspaces, Accops y NoMachine y podrían proporcionar a los atacantes un camino para realizar una variedad de actividades maliciosas.

• Los investigadores han descubierto 27 vulnerabilidades en Eltima SDK, una biblioteca utilizada por numerosos proveedores en la nube para montar de forma remota un dispositivo USB locales. 

Estas vulnerabilidades permiten a los atacantes escalar privilegios para deshabilitar productos de seguridad, sobrescribir componentes del sistema, corromper el sistema operativo o realizar operaciones maliciosas sin obstáculos», han dicho los investigadores de SentinelOne en el informe

Desde entonces, las fallas se han abordado en Amazon Nimble Studio AMI, Amazon NICE DCV, Amazon WorkSpaces, Amazon AppStream, NoMachine, Accops HyWorks, Accops HyWorks DVM Tools, Eltima USB Network Gate, Amzetta zPortal Windows zClient, Amzetta zPortal DVM Tools, FlexiHub y Donglify.

En esencia, los problemas residen en un producto desarrollado por Eltima que ofrece capacidades de «USB sobre Ethernet» y permite que los servicios de virtualización de escritorio como Amazon WorkSpaces redirijan los dispositivos USB conectados, como cámaras web, a su escritorio remoto.

Específicamente, las vulnerabilidades se remontan a dos controladores que son responsables de la redirección USB, «wspvuhub.sys» y «wspusbfilter.sys», lo que lleva a un escenario de desbordamiento del búfer que podría resultar en la ejecución de código arbitrario con privilegios de modo kernel. .

«Un atacante con acceso a la red de una organización también puede obtener acceso para ejecutar código en sistemas no parcheados y usar esta vulnerabilidad para obtener elevación local de privilegios», señaló la firma de ciberseguridad. «Los atacantes pueden aprovechar otras técnicas para girar hacia la red más amplia, como el movimiento lateral».

El descubrimiento marca el cuarto conjunto de vulnerabilidades de seguridad que afectan a los controladores de software y que SentinelOne ha descubierto desde principios de año.

A principios de este mes de mayo, la compañía con sede en Mountain View reveló una serie de vulnerabilidades de escalada de privilegios en el controlador de actualización de firmware de Dell llamado » dbutil_2_3.sys » que no se reveló durante más de 12 años. Luego, en julio, también hizo público una falla de desbordamiento de búfer de alta gravedad que afectaba a » ssport.sys » y se usaba en impresoras HP, Xerox y Samsung que se descubrió que no habían sido detectadas desde 2005.

Y en septiembre, SentinelOne hizo pública una falla de alta gravedad en el software del controlador HP OMEN » HpPortIox64.sys » que podría permitir a los actores de amenazas elevar los privilegios al modo kernel sin requerir permisos de administrador, lo que les permite deshabilitar productos de seguridad, sobrescribir componentes del sistema, e incluso corromper el sistema operativo.

Vulnerabilidades

CVE-2021-42972, CVE-2021-42973, CVE-2021-42976, CVE-2021-42977, CVE-2021-42979, CVE-2021-42980, CVE-2021-42983, CVE-2021-42986, CVE-2021-42987, CVE-2021-42988, CVE-2021-42990, CVE-2021-42993, CVE-2021-42994, CVE-2021-42996, CVE-2021-43000, CVE-2021-43002, CVE-2021-43003, CVE-2021-43006, CVE-2021-43637, CVE-2021-43638, CVE-2021-42681, CVE-2021-42682, CVE-2021-42683, CVE-2021-42685, CVE-2021-42686, CVE-2021-42687, CVE-2021-42688

Sotfware y plataformas afectadas

• Amazon Nimble Studio AMI, before 2021/07/29
• Amazon NICE DCV, below: 2021.1.7744 (Windows), 2021.1.3560 (Linux), 2021.1.3590 (Mac), 2021/07/30
• Amazon WorkSpaces agent, below: v1.0.1.1537, 2021/07/31
• Amazon AppStream client version below: 1.1.304, 2021/08/02
• NoMachine [all products for Windows], above v4.0.346 below v.7.7.4 (v.6.x is being updated as well)
• Accops HyWorks Client for Windows: version v3.2.8.180 or older
• Accops HyWorks DVM Tools for Windows: version 3.3.1.102 or lower (Part of Accops HyWorks product earlier than v3.3 R3)
• Eltima USB Network Gate below 9.2.2420 above 7.0.1370
• Amzetta zPortal Windows zClient
• Amzetta zPortal DVM Tools
• FlexiHub below 5.2.14094 (latest) above 3.3.11481
• Donglify below 1.7.14110 (latest) above 1.0.12309

Fuentes:

https://www.sentinelone.com/labs/usb-over-ethernet-multiple-privilege-escalation-vulnerabilities-in-aws-and-other-major-cloud-services/