São três as falhas endereçadas pela HP e que podiam ser abusadas por atacantes para comprometer sistemas Windows: CVE-2020-6925, CVE-2020-6926 e CVE-2020-6927, todas elas presentes no Gestor de Dispositivos HP.
Este gestor de dispositivos permite aos administradores, de forma remota, gerirem os clientes HP existentes.
Estas três falhas permitiam que um atacante, com privilégios de sistema, conseguisse chegar aos dispositivos-alvo e tomar controlo dos mesmos. Para adquirirem este privilégio, podiam por exemplo desencadear ataques de dicionário, ganhar acesso remoto não autorizado a recursos e, dessa forma, elevar privilégios.
CVE-2020-6925
- Refere-se à fraca implementação de cifras e expunha as contas locais do gestor de dispositivos a ataques de dicionário. O problema não impacta, porém, as contas autenticadas por Active Directory.
CVE-2020-6926
- Um problema que expõe uma falha de invoção de método remota, e que podia ser explorada pelos atacantes para ganharem acesso remoto a dispositivos e recursos
CVE-2020-6927
- Os atacantes podiam, através desta falha, ganhar privilégios de sistema através da exploração de uma conta de utilizador em backdoor na base de dados. Mais especificamente, usando na palavra-passe um espaço na base de dados em PostgreSQL.
Caso os clientes HP usassem uma base de dados externa em Microsoft SQL Server nao estavam com esse risco.
Deste problemas, só este último, referente à falha na base de dados, foi corrigido com a versão 5.0.4 do Device Manager.
De forma a mitigar os restantes problemas, eis uma lista da HP:
- Limitar o acesso interno das portas do gestor, nomeadamente a 1099 e 40002 a IP's de confiança ou somente a localhost
- Remover a conta de dm_postgres da base de dados Postgres ou atualizar a palavra-passe dessa mesma conta
- Criar uma configuração na firewall do Windows para criar uma regra inbound de configuração de uma porta de escuta PostgreSQL (40006) para acesso tão-só por localhost
Mais informações: https://www.itsecuritynews.info/hp-device-manager-flaws-expose-windows-systems-to-hack/
