DIVD-2020-00011 - Four critical vulnerabilities in Vembu BDR

English below

Samenvatting

DIVD Onderzoeker Wietse Boonstra heeft vier ernstige kwetsbaarheden in Vembu BDR Suite ontdekt.

Deze vier kwetsbaarheden zijn:

• Unauthenticated remote command execution (CVE-2021-26471) met CVSS base score of 9.8
• Unauthenticated remote command execution (CVE-2021-26472) met CVSS base score of 10.0
• Unauthenticated arbitrary file upload and command execution (CVE-2021-26473) met CVSS base score of 9.8
• Unauthenticated server side request forgery (CVE-2021-26474) met CVSS base score of 7.2

Via een of meer van deze kwetsbaarheden is het voor een aanvaller mogelijk een kewetbaar Vembu BDR systeem over te nemen en toegang te krijgen tot data die via Vembu BDR wordt gebackuped.

De wolledige details van deze kwetsbaarheden zijn eerder overgedragen aan Vembu die deze kwetsbaarheden in Vembu BDR 4.2.0 update 2 hebben verholpen. Op 1 juni zijn we van plan de volledige details van deze CVEs vrij te geven.

De Server Side Request Forgecy (CVE-2021-26474) komt ook voor in veel andere producten van Vembu.

Wat kunt u doen?

Indien u gebruik maar van Vembu BDR zorg dan dat u minstens versie 4.2.0 update 2 heeft geinstalleerd. Al u nog niet heeft geupdated, of niet kan updaten, zorg dan dat het systeem is voorzien van additionele toegangsbeveiliging zoals een VPN of access gateway.

Daarnaast kun u gebruik maken van nmap en de NSE scripts op onze Vembu GitHub repository om kwetsbare installates in uw netwerk op te sporen.

Wat doen wij?

De afgelopen maanden hebben we samengewerkt met Vembu om te zorgen dat er pataches beschikbaar zijn. Voor de publicatie van deze case en het vrijgeven van de details hebben we de hele IPv4 space gescand om kwetsbare Vembu BDR instances te vinden en kort na de publicatie zllen we waarschuwing versturen aan de “Abuse” adressen van de netwerken waar deze instances staan.

Timeline

Meer informatie

• DIVD CSIRT case DIVD-2020-00011
• CVE-2021-26471
• CVE-2021-26472
• CVE-2021-26473
• CVE-2021-26474
• Vembu BDR

English

Summary

DIVD Researcher Wietse Boonstra has discovered four critical vulnerabilities in Vembu BDR Suite

These four vulnerabilities are:

• Unauthenticated remote command execution (CVE-2021-26471) with a CVSS base score of 9.8
• Unauthenticated remote command execution (CVE-2021-26472) with a CVSS base score of 10.0
• Unauthenticated arbitrary file upload and command execution (CVE-2021-26473) with a CVSS base score of 9.8
• Unauthenticated server side request forgery (CVE-2021-26474) with a CVSS base score of 7.2

An attacker could, by using one or more of these vulnerabilities completely take over a vulnerable Vembu BDR system they have access to and gain access to the data that is back up using Vembu BDR.

The full details of these vulnerabilities have been previously disclosed to Vembu and have been addressed in Vembu DBR version 4.2.0 update 2. We plan to do a full disclosure of these vulnerabilities on 1 June.

The Server Side Request Forgecy (CVE-2021-26474) is also present in lots of other Vembu products.

What you can do

If you are using Vembu BDR make sure that you are using at least version 4.2.0 update 2. If you have not yet updated or cannot update, make sure that system is protect with additional access security measures like a VPN or access gateway.

Additionally you can use nmap and the NSE scripts on our Vembu GitHub repository to scan you own network for exposed Vembu systems.

What we are doing

Over the past months we have been working with Vembu to make sure patches are available. Prior to the publication of this case we have scanned the entire IPv4 space for publicly accessible vulnerable Vembu BDR instances and shortly after this publication we have sent notification to the abuse addresses of these networks.

Timeline

More information

• DIVD CSIRT case DIVD-2020-00011
• CVE-2021-26471
• CVE-2021-26472
• CVE-2021-26473
• CVE-2021-26474
• Vembu BDR