Phát hiện hai lỗ hổng thực thi mã từ xa nghiêm trọng trong rConfig

Hai lỗi trong tiện ích cấu hình mạng rConfig đã được xác định, cả hai đều cho phép thực thi mã từ xa trên các hệ thống bị ảnh hưởng.

RConfig là một tiện ích quản lý cấu hình nguồn mở miễn phí được sử dụng bởi hơn 7.000 kỹ sư mạng để định cấu hình và snapshot (chụp ảnh nhanh) cấu hình của các thiết bị mạng. Theo trang web của dự án, rConfig đang được sử dụng để quản lý hơn 7 triệu thiết bị mạng, bao gồm các bộ chuyển mạch, bộ định tuyến, tường lửa, bộ cân bằng tải, tối ưu hóa mạng WAN.

Cả hai lỗ hổng (CVE-2019-16663, CVE-2019-16662) đều ảnh hưởng đến tất cả các phiên bản của rConfig, bao gồm cả phiên bản rConfig mới nhất 3.9.2, tính đến thời điểm hiện tại chưa có bản vá bảo mật có sẵn nào.

Lỗ hổng CVE-2019-16662 có thể bị khai thác mà không yêu cầu xác thực, cho phép kẻ tấn công thực thi các lệnh hệ thống trên các thiết bị bị ảnh hưởng. Lỗ hổng này được đánh giá ở mức nghiêm trọng, với điểm số CVSS V3.1 là 9,8/10.

Lỗ hổng thứ hai CVE-2019-16663, phải yêu cầu xác thực trước khai thác của nó, được đánh giá ở mức cao, với điểm số CVSS V3.1 là 8,8/10.

Nhà nghiên cứu bảo mật Mohammad Askar đã báo cáo cả hai lỗ hổng cho rConfig vào 19/9 và sau đó 35 ngày đã quyết định công bố chi tiết và PoC sau khi các nhà bảo trì không thừa nhận hoặc phản hồi về những phát hiện của anh ta.

Nếu đang sử dụng rConfig, để giảm thiểu rủi ro, Mohammad Askar khuyến cáo người dùng nên tạm thời xóa nó khỏi máy chủ của mình cho đến khi có bản vá bảo mật.