Cục Điều tra Liên bang Mỹ cảnh báo lỗ hổng zero-day của FatPipe VPN đang bị khai thác

Cục Điều tra Liên bang Mỹ (FBI) vừa cảnh báo một lỗ hổng chưa từng công khai trước đây trong các thiết bị mạng FatPipe MPVPN ít nhất kể từ tháng 5/2021 và duy trì quyền truy cập liên tục vào các hệ thống mạng tồn tại lỗ hổng.

Lỗ hổng bảo mật này cho phép những kẻ tấn công có chủ đích (APT) có quyền truy cập không bị hạn chế vào chức năng upload tập tin để tải lên web shell nhằm chiếm quyền root, leo thang đặc quyền và thực hiện các hoạt động khác. Việc khai thác lỗ hổng này được coi là điểm khởi đầu cho những kẻ tấn công APT tiến hành các hoạt động khai thác khác.

Cụ thể, lỗ hổng zero-day này cho phép kẻ tấn công từ xa upload tập tin lên bất kỳ vị trí nào trên hệ thống tập tin của thiết bị bị ảnh hưởng. Lỗ hổng này ảnh hưởng đến giao diện quản lý nền web của bộ định tuyến FatPipe WARP, MPVPN, IPVPN và các thiết bị cân bằng tải VPN sử dụng phiên bản phần mềm trước 10.1.2r60p93 và 10.2.2r44p1.​

FBI cảnh báo rằng kẻ tấn công đã tận dụng web shell và tấn công cơ sở hạ tầng mạng của Hoa Kỳ bằng cách thiết lập một dịch vụ SSH độc hại, theo sau là một số bước được thiết kế để che giấu các cuộc xâm nhập và bảo vệ việc khai thác để truy cập lại về sau.

FatPipe cho biết, lỗ hổng bắt nguồn từ việc thiếu cơ chế xác thực đầu vào cho các HTTP request, qua đó cho phép kẻ tấn công khai thác lỗ hổng bằng cách gửi một HTTP request độc hại tới thiết bị bị ảnh hưởng. Trong khi chưa có cách giải quyết lỗ hổng này, công ty cho biết nó có thể được giảm thiểu bằng cách tắt quyền truy cập UI và SSH trên giao diện WAN hoặc cấu hình Danh sách truy cập để chỉ cho phép truy cập từ các nguồn đáng tin cậy.

Minh Minh (T/h)