Detecção CVE-2022-32548: Vulnerabilidade RCE Crítica Afeta Modelos Principais da DrayTek

Pesquisadores revelaram uma falha de segurança crítica em 29 modelos de roteadores DrayTek Vigor, totalizando mais de 700.000 dispositivos atualmente em uso. Os roteadores DrayTek Vigor ganharam popularidade durante a mudança mundial para escritórios em casa durante a pandemia e são usados principalmente por funcionários de pequenas e médias empresas no Reino Unido, Países Baixos, Vietnã, Taiwan e Austrália.

A vulnerabilidade é rastreada como CVE-2022-32548 e permite a execução remota de código (RCE), colocando em risco toda a rede comprometida. A falha é classificada com uma pontuação CVSS de 10.0.

O fabricante taiwanês de SOHO confirmou que os hackers criminosos conseguiram executar o exploit sem a interação do usuário; o único pré-requisito é que o dispositivo esteja exposto à internet.

Detectar CVE-2022-32548

O número crescente e a gravidade dos exploits estão criando uma superfície de ataque expandida, colocando em risco mais usuários a cada dia. A equipe de engenheiros de detecção da SOC Prime lança em tempo hábil conteúdo habilitado para Sigma para as ameaças mais recentes, ajudando os profissionais de SOC a se manterem atualizados sobre as ameaças emergentes. Uma das regras Sigma publicadas recentemente permite identificar possíveis tentativas de exploração do CVE-2022-32548:

Possível tentativa de exploração de RCE em Roteadores DrayTek Vigor [CVE-2022-32548] (via proxy)

A regra está alinhada com o framework MITRE ATT&CK® v.10, abordando a tática de Acesso Inicial com Explorar Aplicação Voltada para o Público (T1190) como a principal técnica, disponível para 10 plataformas de SIEM, EDR & XDR.

Se você é novo na Plataforma SOC Prime – um fornecedor líder do setor de conteúdo Detection-as-Code, navegue por uma vasta coleção de regras Sigma com contexto de ameaça relevante, CTI e referências MITRE ATT&CK, descrições de CVE, e obtenha atualizações sobre tendências de caça a ameaças. Não é necessário registro! Pressione o botão Explore Contexto de Ameaça para saber mais. Registre-se clicando no botão Detectar & Caçar abaixo e desbloqueie acesso ilimitado à primeira plataforma do mundo para defesa cibernética colaborativa, caça e descoberta de ameaças que se integra com mais de 26 plataformas de SIEM, EDR e XDR.

Detectar & Caçar Explore Contexto de Ameaça

Análise CVE-2022-32548

The A equipe do Trellix Threat Labs alerta os usuários que pertencem ao cluster afetado pelos impactos da exploração, como vazamento de dados sensíveis, dispositivos comprometidos usados como bots de DDoS ou mineradores de criptomoedas, ataques man-in-the-middle habilitados, adversários acessando os recursos localizados na LAN, movimentação lateral e total controle sobre o dispositivo. research team alarms users that fall into the affected cluster of the exploitation impacts like the leak of sensitive data, compromised devices used as DDoS or crypto miner bots, enabled man-in-the-middle attacks, adversaries accessing the resources located on the LAN, lateral movement, and complete device takeover.

A cadeia de evidências sugere que a vulnerabilidade pode ser acionada enfrentando um problema de transbordamento de buffer na página de login. Pelo menos 200.000 dos roteadores descobertos foram determinados como voltados para a internet, tornando-se, assim, um alvo fácil para adversários que procuram explorar o CVE-2022-32548. Os 500.000 restantes só podem ser explorados via LAN.

O fornecedor lançou patches para todos os modelos afetados.

Na avalanche de vulnerabilidades críticas, é vital manter-se atualizado com os eventos relacionados à indústria de cibersegurança. Siga o blog da SOC Prime para as últimas notícias de segurança e atualizações sobre os lançamentos de conteúdo de detecção. Procurando uma plataforma confiável para distribuir seu conteúdo de detecção enquanto promove a defesa cibernética colaborativa? Junte-se ao programa de crowdsourcing da SOC Prime para compartilhar suas regras Sigma e YARA com a comunidade, automatizar a investigação de ameaças e obter feedback e validação de uma comunidade de mais de 28.000 profissionais de segurança para aprimorar suas operações de segurança.