São Paulo — InkDesign News — Pesquisadores revelaram a existência de 14 vulnerabilidades críticas em plataformas de gerenciamento de segredos, HashiCorp Vault e CyberArk Conjur, incluindo nove falhas de zero-day que comprometem a segurança de sistemas utilizados por inúmeras empresas.
Vetor de ataque
As falhas em questão envolvem autenticação sem validação e execução remota de código (RCE). No caso do CyberArk Conjur, um exploit de RCE sem autenticação foi descoberto, explorando a vulnerabilidade na verificação de identidade. Ao inserir um caractere especial na requisição, os pesquisadores conseguiram redirecionar a validação de autenticação para um servidor malicioso. Esse método inovador permitiu uma escalada de privilégios única, onde o atacante conseguiu se autenticar como uma política, o que, segundo os especialistas, é uma “quirk” interessante (um recurso peculiar) no sistema.
Impacto e resposta
O impacto das vulnerabilidades é significativo. Cada exploit aplicado poderia levar à completa comprometimento das informações sensíveis de uma organização. O CVSS das falhas encontradas no Conjur variou de 6.0 a 9.1, sendo as mais críticas relacionadas ao bypass de autenticação. Já as falhas do HashiCorp Vault também obtiveram uma variedade de pontuações, com uma vulnerabilidade crítica (9.1) permitindo a escalada de privilégios de admin para root. Ambas as empresas, HashiCorp e CyberArk, já lançaram patches para mitigar essas falhas.
“O gerenciamento de segredos é uma coisa boa. Você só precisa contabilizar quando as coisas saem mal. Muitas vezes, os profissionais acreditam que, ao armazenar uma credencial, seu trabalho está feito. Na realidade, esse deveria ser apenas o começo de um esforço mais amplo para construir uma infraestrutura de identidade mais resiliente.”
(“Secret management is a good thing. You just have to account for when things go badly. I think many professionals think that by vaulting a credential, their job is done. In reality, this should be just the beginning of a broader effort to build a more resilient identity infrastructure.”)— Shahar Tal, CEO, Cyata
Análise e recomendações
Essas descobertas ressaltam a importância crítica das plataformas de gerenciamento de segredos. As empresas devem implementar robustas medidas de segurança, como autenticação multifatorial e seguir as orientações de mitigação apresentadas pelas plataformas afetadas. Em um cenário onde segredos digitais são uma parte vital da segurança cibernética, preparar-se para incidentes e treinar equipes para responder adequadamente a compromissos é imprescindível.
Com as evoluções constantes nas ameaças cibernéticas, é essencial que as organizações não apenas se protejam contra vulnerabilidades conhecidas, mas também se preparem para um futuro onde novos métodos de autorização possam substituir a dependência de segredos estáticos.
Fonte: (Dark Reading – Segurança Cibernética)
