CVE-2022-35413

WAPPLES viene con una cuenta 'systemi' codificada de forma fija, y cualquiera que alcance el URI /webapi/ sobre HTTPS puede autenticarse como ella para leer la configuración del sistema y material confidencial, incluidas las claves SSL. La amarga ironía es que WAPPLES es en sí mismo un firewall de aplicaciones web, un dispositivo que las organizaciones colocan en el perímetro para proteger todo lo demás. Una cuenta de puerta trasera sin forma de que el operador la cambie o deshabilite convierte al guardián en la puerta más fácil.

Las credenciales codificadas de forma fija son la explotación de menor esfuerzo que existe: una vez que la cuenta es de conocimiento público, funciona en todas partes donde el producto esté desplegado, de forma idéntica, para siempre, hasta que el proveedor la elimine. Los dispositivos de seguridad son atractivos porque están expuestos a internet por diseño y son confiados implícitamente, y el premio específico aquí, las claves privadas SSL, es peor que el compromiso de un solo host; permite descifrar y suplantar el tráfico que el dispositivo defendía.

Nuestro enfoque es tratar cualquier exposición confirmada como un evento de compromiso de claves, no solo como un ticket de parche. Además de inventariar qué unidades WAPPLES tenemos en funcionamiento y cortar el acceso externo a la API de gestión, planearíamos rotar las claves SSL y cualquier secreto que ese dispositivo albergara, bajo el supuesto de que ya podrían haber salido por la puerta de /webapi/.