Detección de CVE-2022-32548: Vulnerabilidad RCE Crítica Afecta los Modelos Insignia de DrayTek
Tabla de contenidos:
Los investigadores revelaron un agujero de seguridad crítico en 29 modelos de routers DrayTek Vigor, totalizando más de 700,000 dispositivos actualmente en uso. Los routers DrayTek Vigor ganaron popularidad durante el cambio global a oficinas en casa durante la pandemia y son utilizados principalmente por empleados de pequeñas y medianas empresas en el Reino Unido, Países Bajos, Vietnam, Taiwán y Australia.
La vulnerabilidad se rastrea como CVE-2022-32548 y permite la ejecución remota de código (RCE), poniendo en riesgo toda la red comprometida. El fallo tiene una calificación de CVSS de 10.0.
El fabricante taiwanés SOHO confirmó que los hackers criminales lograron explotar sin interacción del usuario; el único requisito es que el dispositivo esté orientado a Internet.
Detectar CVE-2022-32548
El número creciente y la gravedad de los exploits están creando una superficie de ataque expandida, poniendo en riesgo a más usuarios cada día. El equipo de Ingenieros de Detección de SOC Prime publica contenido con soporte Sigma para las últimas amenazas para ayudar a los profesionales de SOC a estar al día con las amenazas emergentes. Una de las reglas Sigma publicadas recientemente permite identificar intentos potenciales de explotación de CVE-2022-32548:
Posible intento de explotación RCE en Routers DrayTek Vigor [CVE-2022-32548] (a través de proxy)
La regla está alineada con el marco MITRE ATT&CK® v.10, abordando la táctica de Acceso Inicial con Explotación de Aplicación Orientada al Público (T1190) como técnica principal, disponible para 10 plataformas SIEM, EDR & XDR.
Si eres nuevo en la Plataforma SOC Prime, un proveedor líder de contenido de Detección-como-Código, explora una vasta colección de reglas Sigma con contexto de amenaza relevante, referencias de CTI y MITRE ATT&CK, descripciones CVE y obtén actualizaciones sobre tendencias de búsqueda de amenazas. ¡No se requiere registro! Presiona el botón Explorar Contexto de Amenazas para aprender más. Regístrate haciendo clic en el botón Detectar y Buscar a continuación y desbloquea acceso ilimitado a la primera plataforma mundial para defensa cibernética colaborativa, búsqueda de amenazas y descubrimiento que se integra con más de 26 plataformas SIEM, EDR y XDR.
Detectar y Buscar Explorar Contexto de Amenazas
Análisis de CVE-2022-32548
The El equipo de investigación de Trellix Threat Labs alerta a los usuarios que caen dentro del grupo afectado por los impactos de la explotación, como la fuga de datos sensibles, dispositivos comprometidos utilizados como bots de DDoS o mineros de criptomonedas, ataques de intermediarios habilitados, adversarios accediendo a los recursos ubicados en la LAN, movimiento lateral y toma total del dispositivo. research team alarms users that fall into the affected cluster of the exploitation impacts like the leak of sensitive data, compromised devices used as DDoS or crypto miner bots, enabled man-in-the-middle attacks, adversaries accessing the resources located on the LAN, lateral movement, and complete device takeover.
La cadena de evidencia sugiere que la vulnerabilidad puede desencadenarse al enfrentar un problema de desbordamiento de búfer en la página de inicio de sesión. Se determinó que al menos 200,000 de los routers descubiertos están orientados a Internet, convirtiéndose así en un blanco fácil para los adversarios que buscan explotar CVE-2022-32548. Los 500,000 restantes solo pueden ser explotados a través de LAN.
El proveedor ha lanzado parches para todos los modelos afectados.
En la avalancha de vulnerabilidades críticas, es vital mantenerse al día con los eventos relacionados con la industria de la ciberseguridad. Sigue el blog de SOC Prime para las últimas noticias de seguridad y actualizaciones sobre lanzamientos de contenido de detección. ¿Buscas una plataforma confiable para distribuir tu contenido de detección mientras promueves la defensa cibernética colaborativa? Únete al programa de crowdsourcing de SOC Prime para compartir tus reglas Sigma y YARA con la comunidad, automatizar la investigación de amenazas y recibir retroalimentación y validación de una comunidad de más de 28,000 profesionales de seguridad para potenciar tus operaciones de seguridad.
