شرکت امنیتی BeyondTrust با انتشار یک به‌روزرسانی اضطراری، به تمامی مشتریان خود هشدار داد که آسیب‌پذیری بحرانی در سامانه پشتیبانی از راه دور (Remote Support) این شرکت تحت بهره‌برداری فعال مهاجمان قرار گرفته است. بررسی‌های فاش‌شده نشان می‌دهد نفوذگران حداقل از شهریور ۱۴۰۴ (اواخر اوت ۲۰۲۴) با سوءاستفاده از این شکاف صفر‌روزی (Zero-Day)، اقدام به اجرای کدهای تخریبی از راه دور روی سرورهای آسیب‌پذیر کرده‌اند.
ابعاد فنی آسیب‌پذیری CVE-2024-12345 در BeyondTrust RS
این آسیب‌پذیری که در دسته‌بندی تزریق دستورات سیستم‌عامل (Command Injection) قرار می‌گیرد، به مهاجمان احرازهویت‌نشده اجازه می‌دهد تا با ارسال درخواست‌های شبکه دست‌کاری‌شده به رابط وب ابزار Remote Support، دستورات مورد نظر خود را با دسترسی سطح بالا (Root/SYSTEM) روی سیستم هدف اجرا کنند. بر اساس گزارش تیم پاسخ به حوادث BeyondTrust، ساختار ضعیف در اعتبارسنجی ورودی‌ها در یکی از APIهای درگاه مدیریت، عامل اصلی بروز این شکاف امنیتی بوده است.
نکته نگران‌کننده در خصوص این حمله، پیچیدگی متدولوژی مهاجمان است. آن‌ها بدون نیاز به داشتن حساب کاربری یا تعامل با کاربر، قادر به نفوذ به زیرساخت سازمان‌ها شده و پس از ورود، از ابزارهای بومی سیستم‌عامل برای احراز هویت جانبی و تثبیت دسترسی (Persistence) استفاده کرده‌اند.
مشخصات فنی آسیب‌پذیری
- شناسه استاندارد: CVE-2024-12345 (شناسه نمونه)
- درجه اهمیت: بحرانی (Critical) با امتیاز CVSS 9.8 از ۱۰
- نوع آسیب‌پذیری: Unauthenticated Remote Code Execution (RCE) via Command Injection
- محصولات متأثر: BeyondTrust Remote Support (RS) و Privileged Remote Access (PRA) نسخه24.1 و قدیمی‌تر
- وضعیت بهره‌برداری: بهره‌برداری فعال صفر‌روزی در محیط عملیاتی (Exploited in the wild)
تحلیل الگوی حملات و بردارهای نفوذ
تحلیل‌های کالبدشکافی دیجیتال (Forensics) روی سرورهای قربانی نشان می‌دهد مهاجمان پس از اکسپلویت موثر این شکاف امنیتی، اقدام به بارگذاری اسکریپت‌های PowerShell و Shell سفارشی کرده‌اند تا فرآیند جمع‌آوری اعتبارنامه‌ها (Credential Dumping) را آغاز کنند. از آن‌جایی که راهکارهای مدیریت دسترسی از راه دور مانند BeyondTrust Remote Support شاهراه اصلی دسترسی تیم‌های پشتیبانی به زیرساخت‌های حساس هستند، نفوذ به این سرورها به معنای به دست گرفتن کلید اصلی تمامی سیستم‌های متصل به آن است.
تیم‌های امنیتی گزارش داده‌اند که حملات ابتدایی از اواخر مرداد و اوایل شهریور ۱۴۰۴ شناسایی شده‌اند، اما دامنه واقعی این کمپین امنیتی پس از تحلیل ترافیک مخرب شبکه و شناسایی بسته‌های غیرعادی ارسال‌شده به پورت‌های مدیریت مشخص گردید.
اقدامات فوری برای ایمن‌سازی و رفع آسیب‌پذیری
شرکت BeyondTrust پچ‌های امنیتی را برای تمامی نسخه‌های پشتیبانی‌شده ارائه کرده و از مدیران سیستم خواسته است اقدامات زیر را بدون فوت وقت انجام دهند:
- ارتقا به آخرین نسخه: به‌روزرسانی سریع برنامه‌های کاربردی Remote Support و Privileged Remote Access به نسخه‌های وصله‌شده نسخه 24.2 یا بالاتر.
- محدودسازی دسترسی شبکه: قرار دادن رابط‌های مدیریتی وب در پشت دیواره آتش (Firewall) و محدود کردن دسترسی فقط به آدرس‌های IP مجاز و شبکه VPN داخلی.
- پایش لاگ‌های سیستم: بررسی دقیق لاگ‌های احرازهویت و دسترسی در بازه زمانی مرداد تا مهر ۱۴۰۴ برای شناسایی هرگونه رفتار مشکوک یا اجرای دستورات غیرعادی.
- بازنشانی کلیدها و اعتبارنامه‌ها: در صورت وجود هرگونه تردید در خصوص نفوذ، تمام گواهی‌های دیجیتال و کلیدهای API مرتبط با این سامانه باید فوراً بازنشانی شوند.
نتیجه‌گیری و مسئولیت سازمان‌ها
بروز آسیب‌پذیری‌های صفر‌روزی در ابزارهای سطح بالای مدیریت دسترسی نشان می‌دهد که هیچ نرم‌افزاری کاملاً ایمن نیست و معماری «اعتماد صفر» (Zero Trust) باید در تمامی سطوح سازمان پیاده‌سازی شود. سازمان‌هایی که از راهکارهای Remote Support برای ارائه‌ی خدمات پشتیبانی استفاده می‌کنند باید ارتقای نرم‌افزاری را در اولویت مطلق عملیاتی خود قرار دهند تا از سقوط دومیویی امنیت زیرساخت‌های خود جلوگیری کنند.
