SQL Anywhere Monitor è uno strumento di amministrazione e monitoraggio dei database utilizzato per gestire database SQL Anywhere, spesso impiegati in sistemi embedded, applicazioni mobili e ambienti che richiedono un ingombro ridotto e capacità di autogestione. La criticità aziendale è elevata negli ambienti in cui viene utilizzato per gestire dati sensibili per applicazioni critiche.

La vulnerabilità rappresenta un rischio critico, poiché consente a un attaccante non autenticato di ottenere il controllo completo del server sottostante. Ciò è dovuto alla presenza di credenziali hardcoded incorporate nell’applicazione, facilmente estraibili. L’impatto è una compromissione totale della riservatezza, integrità e disponibilità del sistema, di fatto un completo takeover del sistema.

Data la disponibilità pubblica di un exploit e un punteggio CVSS di 10.0, questa vulnerabilità è un bersaglio primario sia per attacchi opportunistici che mirati. Tutte le istanze di SQL Anywhere Monitor esposte a Internet sono a rischio immediato di compromissione. Vulnerabilità di questo tipo sono frequentemente aggiunte al catalogo KEV (Known Exploited Vulnerabilities) della CISA, e le organizzazioni dovrebbero presumere che l’exploit sia attivamente sfruttato in ambienti reali.

Riassunto tecnico

La causa principale di questa vulnerabilità è l’uso di credenziali hardcoded, classificata come CWE-798: Use of Hard-coded Credentials. Le credenziali per un account con privilegi elevati sono incorporate direttamente nei binari dell’applicazione del componente SQL Anywhere Monitor (Non-GUI).

La catena di attacco è semplice:

1. Un attaccante ottiene accesso ai file dell’applicazione, scaricando un installer pubblico o da un sistema compromesso.
2. Utilizzando strumenti di reverse engineering, come l’analisi delle stringhe o decompilatori, l’attaccante estrae lo username e la password statici dal codice binario.
3. L’attaccante utilizza queste credenziali recuperate per autenticarsi al servizio SQL Anywhere Monitor con privilegi elevati.
4. Una volta autenticato, può sfruttare le funzionalità dell’applicazione per eseguire comandi arbitrari sul sistema operativo sottostante, ottenendo così una Esecuzione di Codice Remota (RCE).

Un attaccante può ottenere il controllo completo del server host, permettendogli di esfiltrare o modificare informazioni sensibili del database, distribuire ransomware o utilizzare il sistema compromesso come punto di ingresso per attacchi alla rete interna. Tutte le versioni di SQL Anywhere Monitor precedenti alla patch fornita dal fornitore sono considerate vulnerabili. Gli utenti devono consultare le comunicazioni ufficiali del fornitore per conoscere i numeri di versione corretti contenenti la patch.

Raccomandazioni

• Applicare la patch immediatamente: Aggiornare alla versione più recente di SQL Anywhere Monitor come indicato dal fornitore. Questo è l’unico modo efficace per risolvere la vulnerabilità.
• Mitigazioni:
  • Limitare l’accesso in rete al servizio SQL Anywhere Monitor solo ad indirizzi IP considerati attendibili. Idealmente, il servizio non dovrebbe essere esposto pubblicamente a Internet.
  • Se la patch non può essere applicata immediatamente, disabilitare o interrompere il servizio SQL Anywhere Monitor finché non sarà possibile intervenire.
• Detection e hunting:
  • Analizzare i log di autenticazione dello SQL Anywhere Monitor per eventuali accessi riusciti da origini sconosciute o sospette.
  • Monitorare la presenza di processi anomali avviati dall’account di servizio di SQL Anywhere Monitor sul sistema host.
  • Controllare l’attività delle connessioni di rete in uscita dal server che ospita il monitor verso indirizzi IP o porte insolite.
• Risposta agli incidenti:
  • Se si sospetta una compromissione, isolare immediatamente l’host interessato dalla rete per prevenire movimenti laterali.
  • Conservare log, dump della memoria e immagini disco per l’analisi forense.
  • Presumere che si sia verificata una violazione completa dei dati e attivare il proprio piano di risposta agli incidenti.
• Difesa in profondità:
  • Implementare segmentazione di rete per limitare l’impatto di una possibile compromissione di un server.
  • Assicurarsi che i sistemi critici dispongano di backup aggiornati e che siano conservati in una posizione sicura e offline.
  • Eseguire il servizio SQL Anywhere Monitor con i minimi privilegi necessari al suo funzionamento.