Rilevamento CVE-2022-32548: Vulnerabilità RCE Critica Colpisce i Modelli di Punta di DrayTek

I ricercatori hanno rivelato un buco di sicurezza critico in 29 modelli di router DrayTek Vigor, per un totale di oltre 700.000 dispositivi attualmente in uso. I router DrayTek Vigor hanno guadagnato popolarità durante il passaggio mondiale agli uffici domestici durante la pandemia e sono utilizzati principalmente dai dipendenti di piccole e medie imprese nel Regno Unito, nei Paesi Bassi, in Vietnam, Taiwan e Australia.

La vulnerabilità è identificata come CVE-2022-32548 e consente l’esecuzione di codice remoto (RCE), mettendo a rischio l’intera rete compromessa. Il difetto è valutato con un punteggio CVSS di 10.0.

Il produttore taiwanese SOHO ha confermato che i criminali informatici hanno avuto successo con l’exploit senza interazione dell’utente; l’unico prerequisito è che il dispositivo sia rivolto verso Internet.

Rileva CVE-2022-32548

Il crescente numero e la gravità degli exploit stanno creando una superficie d’attacco ampliata, mettendo a rischio più utenti ogni giorno. Il team di Detection Engineers di SOC Prime pubblica tempestivamente contenuti abilitati a Sigma per le minacce più recenti per aiutare i professionisti SOC a rimanere aggiornati sulle minacce emergenti. Una delle regole Sigma recentemente pubblicate consente di identificare tentativi di sfruttamento potenziale di CVE-2022-32548:

Possibile tentativo di sfruttamento RCE nei router DrayTek Vigor [CVE-2022-32548] (tramite proxy)

La regola è allineata con il MITRE ATT&CK® framework v.10, affrontando la tecnica di accesso iniziale con la tecnica Exploit Public-Facing Application (T1190) come tecnica principale, disponibile per 10 piattaforme SIEM, EDR & XDR.

Se sei nuovo sulla piattaforma SOC Prime – un provider leader nell’industria di contenuti Detection-as-Code, sfoglia una vasta collezione di regole Sigma con contesto di minacce rilevante, CTI e riferimenti MITRE ATT&CK, descrizioni CVE, e ricevi aggiornamenti sulle tendenze di threat hunting. Non è richiesta registrazione! Premi il pulsante Esplora Contesto di Minaccia per saperne di più. Iscriviti cliccando il pulsante Detect & Hunt qui sotto e sblocca l’accesso illimitato a la prima piattaforma mondiale per la difesa cyber collaborativa, threat hunting e scoperta che si integra con oltre 26 piattaforme SIEM, EDR e XDR.

pulsante Detect & Hunt pulsante Esplora Contesto di Minaccia

Analisi CVE-2022-32548

The Il team di ricerca di Trellix Threat Labs avverte gli utenti che rientrano nel cluster colpito dagli impatti dello sfruttamento, come la perdita di dati sensibili, dispositivi compromessi usati come bot DDoS o miner di criptovalute, attacchi man-in-the-middle abilitati, avversari che accedono alle risorse situate sulla LAN, movimenti laterali e completo controllo del dispositivo. research team alarms users that fall into the affected cluster of the exploitation impacts like the leak of sensitive data, compromised devices used as DDoS or crypto miner bots, enabled man-in-the-middle attacks, adversaries accessing the resources located on the LAN, lateral movement, and complete device takeover.

La catena delle prove suggerisce che la vulnerabilità può essere innescata affrontando un problema di overflow del buffer sulla pagina di accesso. Almeno 200.000 dei router scoperti sono stati determinati verso internet, diventando quindi un bersaglio facile per avversari che cercano di sfruttare CVE-2022-32548. I restanti 500.000 possono essere sfruttati solo tramite LAN.

Il fornitore ha rilasciato patch per tutti i modelli interessati.

Nella valanga di vulnerabilità critiche, è fondamentale rimanere aggiornati sugli eventi pertinenti all’industria della sicurezza informatica. Segui il blog di SOC Prime per le ultime notizie sulla sicurezza e aggiornamenti sui rilasci di contenuti di rilevamento. Cerchi una piattaforma affidabile per distribuire il tuo contenuto di rilevamento promuovendo una difesa cyber collaborativa? Unisciti al programma di crowdsourcing di SOC Prime per condividere le tue regole Sigma e YARA con la comunità, automatizzare l’investigazione delle minacce e ottenere feedback e valutazione da una comunità di oltre 28.000 professionisti della sicurezza per potenziare le tue operazioni di sicurezza.