Podatności AiSOC

W AiSOC w wersjach od 5.1.0 do przed 12.0.0 wykryto podatność obejścia uwierzytelnienia w wewnętrznych punktach końcowych usługi realtime: POST /internal/agent-event i POST /internal/push. Atakujący mogą publikować dowolne zdarzenia ze sfałszowanymi identyfikatorami dzierżawców, aby rozgłaszać złośliwe treści przez kanały WebSocket i Redis SSE lub wysyłać nieautoryzowane powiadomienia do zarejestrowanych urządzeń.

AiSOC w wersjach od 7.5.0 przed 12.0.0 używa stałej zakodowanej na sztywno do weryfikacji JWT w usłudze realtime WebSocket i SSE, gdy zmienna środowiskowa AISOC_REALTIME_JWT_SECRET nie jest ustawiona. Nieuwierzytelnieni atakujący mogą sfałszować bilety subskrypcji z dowolnymi identyfikatorami dzierżawców, aby uzyskać dostęp do alertów na żywo, spraw, zdarzeń agentów i aktualizacji grafów między dzierżawcami poprzez punkty końcowe realtime.

AiSOC w wersjach przed 12.0.0 zawiera podatność obejścia autoryzacji w module MSSP, która pozwala uwierzytelnionym użytkownikom dodawać dowolnych dzierżawców do posiadanych portfeli. Atakujący mogą przesyłać identyfikatory UUID dzierżawców poprzez endpoint add_tenants_to_portfolio, aby przejąć nieprzypisanych dzierżawców i odczytać ich alerty bezpieczeństwa, incydenty i metryki postawy bez zgody.

W AiSOC w wersjach od 9.0.0 do przed 12.0.0 nie wymuszono uwierzytelnienia na punktach końcowych API akcji odpowiedzi, gdy włączony jest AISOC_DEV_MODE i AISOC_ACTIONS_SERVICE_TOKEN jest pusty w domyślnym wdrożeniu Docker Compose. Nieuwierzytelnieni atakujący mogą wyświetlać integracje akcji odpowiedzi, składać i zatwierdzać akcje w imieniu dowolnych podmiotów oraz wysyłać akcje izolacji przy użyciu poświadczeń dostawcy.

AiSOC w wersjach od 7.2.0 do 12.0.0 zawiera lukę wstrzyknięcia poleceń w usłudze actions, która buduje ciągi poleceń CrowdStrike Real Time Response poprzez interpolację nieescapowanych parametrów akcji w plikach crowdstrike_rtr.py i endpoint.py. Uwierzytelniony użytkownik może wstrzyknąć apostrofy w parametry file_path, path, script_name lub script_args, aby wyłamać się z cytowanych argumentów i wykonać dowolne polecenia na zarządzanych endpointach z uprawnieniami SYSTEM lub root.