Los investigadores de la empresa de ciberseguridad industrial y de IoT Claroty idearon una técnica de ataque para eludir los cortafuegos de aplicaciones web (WAF) de varios proveedores líderes del sector.
La técnica fue descubierta mientras realizaban una investigación no relacionada con la plataforma de gestión de dispositivos inalámbricos de Cambium Networks.
Los investigadores descubrieron una vulnerabilidad de inyección SQL de Cambium que utilizaron para filtrar sesiones de usuarios, claves SSH, hashes de contraseñas, tokens y códigos de verifcación.
Los expertos señalaron que pudieron explotar la vulnerabilidad de inyección SQL contra la versión local, mientras que los intentos de pirateo contra la versión en la nube fueron bloqueados por el WAF de Amazon Web Services (AWS).
A continuación, los expertos empezaron a investigar cómo eludir el WAF de AWS.
Los investigadores descubrieron que añadir sintaxis JSON a las cargas de inyección SQL permite eludir el WAF, ya que es incapaz de analizarla.
"Utilizando la sintaxis JSON, es posible crear nuevas cargas útiles SQLi. Estas cargas útiles, al no ser comúnmente conocidas, podrían utilizarse para pasar desapercibidas y eludir muchas herramientas de seguridad", menciona el informe publicado por Claroty.
Utilizando la sintaxis de diferentes motores de bases de datos, pudimos compilar la siguiente lista de sentencias verdaderas en SQL:
- PostgreSQL: ?{?b?:2}?::jsonb <@ ?{?a?:1, ?b?:2}?::jsonb
¿Está el JSON izquierdo contenido en el derecho? Cierto.
·
- SQLite: ?{?a?:2,?c?:[4,5,{?f?:7}]}? -> ?$.c[2].f? = 7
¿El valor extraído de este JSON es igual a 7? Verdadero.
- MySQL: JSON_EXTRACT(?{?id?: 14, ?name?: ?Aztalan?}?, ?$.name?) = ?Aztalan?
¿El valor extraído de este JSON es igual a 'Aztalan'? Sí.
Los investigadores de Claroty utilizaron el operador JSON '@<' para lanzar el WAF en un bucle y suministrar cargas maliciosas SQLi.
Los investigadores comprueban que la técnica de ataque de derivación también funcionaba contra cortafuegos de otros proveedores, como Cloudflare, F5, Imperva y Palo Alto Networks.
"Descubrimos que los WAF de los principales proveedores no admitían la sintaxis JSON en su proceso de inspección de inyecciones SQL, lo que nos permitía añadir sintaxis JSON a una sentencia SQL que cegaba a un WAF ante el código malicioso", concluye el informe.
Fuente: securityaffairs