Avis de sécurité - Vulnérabilité de contournement d'authentification d’ADSelfService Plus

Code CVE : CVE-2021-40539

Gravité : Critique

Versions concernées : Builds ADSelfService Plus jusqu'à 6113

Correctif : ADSelfService Plus build 6114 (7 septembre 2021)

Cette page présente les détails de la vulnérabilité et un plan de réponse aux incidents si votre système est affecté. Pour plus d'informations sur les dernières mises à jour et la chronologie de la vulnérabilité, vous pouvez consulter cette page. Avez-vous des questions sur cette vulnérabilité ? Consultez notre page FAQ détaillée. Vous pouvez également vous inscrire pour un audit de vulnérabilité complémentaire sur cette page. Notre équipe d'assistance d'urgence vous aidera, lors d'une session individuelle, à exécuter manuellement cet outil, mais aussi à vérifier les indicateurs de compromission et à répondre à toutes vos questions.

Nous avons établi un partenariat avec Veracode, une société indépendante spécialisée dans la sécurité des applications, pour effectuer des tests manuels sur ADSelfService Plus afin d'obtenir le point de vue d’une tierce personne sur l’aspect sécurité de cette solution.

Introduction

Nous avons été informés d'une vulnérabilité de contournement d'authentification dans ADSelfService Plus, affectant les URL de l’API REST et qui pourrait entraîner l'exécution de code à distance.

Détails

Les URL de l'API REST sont authentifiées par un filtre de sécurité spécifique dans ADSelfService Plus.

Les attaquants ont utilisé des URL API REST spécialement conçues, qui ont pu contourner ce filtre de sécurité en raison d'une erreur de normalisation des URL avant validation. Cela a permis aux attaquants d'accéder aux points de terminaison de l'API REST et d'exploiter ces points de terminaison pour mener des attaques ultérieures, telles que l'exécution de commandes arbitraires. L'organigramme d'analyse d'exploitation suivant montre comment les attaquants ont exploité cette vulnérabilité.

Organigramme de l'analyse de l'exploit CVE-2021-40539

Comment puis-je vérifier si mon installation a été affectée ?

Il y a trois façons de vérifier si votre installation a été affectée :

• Exécutez notre outil de détection des exploits.
• Vérifiez les entrées de journaux spécifiques.
• Vérifiez la présence de fichiers spécifiques dans votre système.

1. Exécutez notre outil de détection des exploits

Nous avons développé un outil de détection des exploits pour vous aider à identifier si votre installation a été affectée par cette vulnérabilité. Vous pouvez télécharger l'outil ici. Une fois le fichier téléchargé, suivez les étapes suivantes :

1. Extrayez l'outil vers le dossier \ManageEngine\ADSelfService Plus\bin.
2. Faites un clic droit sur le fichier RCEScan.bat et sélectionnez Exécuter en tant qu'administrateur.
3. Une fenêtre d'invite de commandes s'ouvre et l'outil effectue une analyse. Si votre installation est affectée, le message suivant s’affiche :
   Résultat : Votre installation d'ADSelfService Plus a été affectée par une vulnérabilité de contournement d'authentification »

Si vous voulez vérifier les journaux manuellement, vous pouvez suivre les étapes suivantes.

2. Vérifier les entrées de journaux spécifiques

1. Journaux d'accès

   Dans le dossier \ManageEngine\ADSelfService Plus\logs, recherchez les fichiers journaux d'accès avec le modèle « access_log_<date>.txt » et recherchez les entrées contenant les chaînes de caractères ci-dessous :

   1. /../RestAPI
   2. /./RestAPI

   L'image ci-dessous montre un exemple d'entrée de journal d'accès avec les chaînes de caractères mentionnées ci-dessus :

   

2. Journaux ServerOut

   Dans le dossier \ManageEngine\ADSelfService Plus\logs, recherchez les fichiers journaux d'accès avec le motif « serverOut_<date>.txt » et vérifiez l'existence d'une exception, comme le montre l'image ci-dessous :

   

3. Journaux ADS

   Dans le dossier \ManageEngine\ADSelfService Plus\logs, recherchez les fichiers journaux d'accès avec le motif « adslog_<date>.txt » et vérifiez les erreurs de traçage Java qui incluent des références à NullPointerException dans addSmartCardConfig ou getSmartCardConfig comme le montre l'image ci-dessous :

   

3. Recherche de fichiers spécifiques dans le système

Si vous utilisez ADSelfService Plus version 6113 ou plus ancienne, et si votre système a été affecté, votre système aura les fichiers suivants dans le dossier d'installation de ADSelfService Plus :

1. service.cer dans le dossier \ManageEngine\ADSelfService Plus\bin.
2. ReportGenerate.jsp dans les dossiers \ManageEngine\ADSelfService Plus\help\admin-guide\Reports et \ManageEngine\ADSelfService Plus\webapps\adssp\help\admin-guide\reports.
3. adap.jsp dans le dossier \ManageEngine\ADSelfService Plus\webapps\adssp\help\html\promotion.
4. custom.bat et custom.txt dans le dossier C:\Users\Public\.

De plus, les IoC ci-dessous ont été publiés par CrowdStrike le 22 juin 2023, dans le cadre de leur observation d'une activité de menace soupçonnée d'exploiter CVE-2021-40539.

5. selfsdp.jspx dans le dossier \ManageEngine\ADSelfService Plus\webapps\adssp\html\promotion\.
6. error.jsp dans le dossier \ManageEngine\ADSelfService Plus\webapps\adssp\html\.
7. tomcat-ant.jar dans le dossier \ManageEngine\ADSelfService Plus\lib\.
8. Tout dossier autre que selfservice dans le dossier \ManageEngine\ADSelfService Plus\work\Catalina\localhost\ROOT\org\apache\jsp\.

Plan de réponse aux incidents