Download
Beveilingsadvies; NCSC-2022-0321
-----BEGIN PGP SIGNED MESSAGE-----
Hash: SHA512
#####################################################
## N C S C ~ B E V E I L I G I N G S A D V I E S ##
#####################################################
Titel : Kwetsbaarheden verholpen in switches van Avaya en
Aruba Networks
Advisory ID : NCSC-2022-0321
Versie : 1.00
Kans : medium
CVE ID : CVE-2022-23676, CVE-2022-23677, CVE-2022-29860,
CVE-2022-29861
(Details over de kwetsbaarheden kunt u vinden op
de Mitre website: https://cve.mitre.org/cve/)
Schade : high
(Remote) code execution (Administrator/Root rechten)
Uitgiftedatum : 20220503
Toepassing : Aruba Switches
Avaya ERS
Versie(s) :
Platform(s) :
Beschrijving
Onderzoekers van cybersecuritybedrijf Armis hebben kwetsbaarheden
ontdekt in implementaties van de NanoSSL-library. Armis heeft
ontdekt dat in bepaalde netwerkapparatuur van Aruba en Avaya
foutmeldingen niet goed worden verwerkt waardoor er
beveiligingsproblemen optreden. Eerder heeft Armis soort gelijke
kwetsbaarheden gevonden in UPS-systemen zoals beschreven in
beveiligingsadvies NCSC-2022-0164.
Aruba:
De kwetsbaarheid met kenmerk CVE-2022-23676 bevindt zich in de
implementatie van RADIUS, een authenticatie protocol. Een aanvaller
die over een malafide RADIUS-server beschikt of de gedeelde secret
kent, kan de kwetsbaarheid misbruiken voor het uitvoeren van
willekeurige code op de switch.
De kwetsbaarheid met kenmerk CVE-2022-23677 kan door een
kwaadwillende worden misbruikt om willekeurige code uit te voeren.
Hiertoe is toegang vereist tot het "captive portal", het portaal
waar gebruikers kunnen inloggen als zij verbinding maken met
bijvoorbeeld een Wi-Fi omgeving. De kwetsbaarheid kan ook worden
misbruikt wanneer de kwaadwillende over een
man-in-the-middle-positie beschikt tussen de switch en de
RADIUS-server.
Avaya (Extreme Networks):
In de management-interface van verschillende Avaya-switches zitten
drie kwetsbaarheden met kenmerk CVE-2022-29860, CVE-2022-29861 en
een kwetsbaarheid zonder CVE-kenmerk. De drie kwetsbaarheden stellen
een kwaadwillende op afstand in staat willekeurige code uit te
voeren. Het is goed gebruik om management-interfaces niet via een
publiek benaderbaar netwerk te ontsluiten. De derde kwetsbaarheid
heeft geen CVE-kenmerk gekregen omdat het is gevonden in End-of-Life
producten van Avaya die geen update meer zullen krijgen.
Op dit moment zijn er nog geen signalen dat deze kwetsbaarheden
actief worden misbruikt.
Armis heeft een blogpost gepubliceerd over deze kwetsbaarheden. Zie
voor meer informatie:
https://www.armis.com/blog
/tlstorm-2-nanossl-tls-library-misuse-leads-to-vulnerabilities-in
-common-switches
Mogelijke oplossingen
Aruba heeft publiek geen informatie over oplossingen voor de
kwetsbaarheden gedeeld. Armis verwijst klanten van Aruba door naar
Aruba's Support Portal:
https://asp.arubanetworks.com/
Extreme Networks heeft updates uitgebracht om de kwetsbaarheden in
Avaya-switches te verhelpen. Meer informatie kunt u vinden op
onderstaande pagina:
CVE-2022-29860:
https://extremeportal.force.com
/ExtrArticleDetail?an=000104247&q=CVE-2022-29860
CVE-2022-29861:
https://extremeportal.force.com
/ExtrArticleDetail?an=000104248&q=CVE-2022-29861
Vrijwaringsverklaring
Door gebruik van deze security advisory gaat u akkoord met de
navolgende voorwaarden. Ondanks dat het NCSC de grootst mogelijke
zorg heeft betracht bij de samenstelling van dit beveiligingsadvies,
kan het NCSC niet instaan voor de volledigheid, juistheid of
(voortdurende) actualiteit van dit beveiligingsadvies. De informatie
in dit beveiligingsadvies is uitsluitend bedoeld als algemene
informatie voor professionele partijen. Aan de informatie in dit
beveiligingsadvies kunnen geen rechten worden ontleend. Het NCSC
en de Staat zijn niet aansprakelijk voor enige schade ten gevolge
van het gebruik of de onmogelijkheid van het gebruik van dit
beveiligingsadvies, waaronder begrepen schade ten gevolge van de
onjuistheid of onvolledigheid van de informatie in dit
beveiligingsadvies. Op dit beveiligingsadvies is Nederlands recht
van toepassing. Alle geschillen in verband met en/of voortvloeiend
uit dit beveiligingsadvies zullen worden voorgelegd aan de exclusief
bevoegde rechter te Den Haag. Deze rechtskeuze geldt tevens voor de
voorzieningenrechter in kort geding.
-----BEGIN PGP SIGNATURE-----
Version: Encryption Desktop 10.4.2 (Build 1298)
Charset: utf-8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=+IUR
-----END PGP SIGNATURE-----
