Cisco IOS XE-তে দুর্বলতা একটি ব্যাকডোর ইনস্টল করতে ব্যবহৃত হয়

Cisco IOS XE অপারেটিং সিস্টেমের সাথে সজ্জিত ভৌত এবং ভার্চুয়াল সিসকো ডিভাইসগুলিতে ব্যবহৃত ওয়েব ইন্টারফেসের বাস্তবায়নে, একটি জটিল দুর্বলতা (CVE-2023-20198) চিহ্নিত করা হয়েছে, যা প্রমাণীকরণ ছাড়াই, সিস্টেমে সম্পূর্ণ অ্যাক্সেসের অনুমতি দেয়। সর্বোচ্চ স্তরের সুবিধা, যদি আপনার নেটওয়ার্ক পোর্টে অ্যাক্সেস থাকে যার মাধ্যমে ওয়েব ইন্টারফেস কাজ করে। সমস্যাটির বিপদ আরও বেড়ে যায় যে আক্রমণকারীরা এক মাস ধরে অ্যাডমিনিস্ট্রেটর অধিকার সহ অতিরিক্ত অ্যাকাউন্ট "cisco_tac_admin" এবং "cisco_support" তৈরি করতে এবং চালানোর জন্য দূরবর্তী অ্যাক্সেস প্রদান করে এমন ডিভাইসগুলিতে স্বয়ংক্রিয়ভাবে একটি ইমপ্লান্ট স্থাপন করতে আনপ্যাচড দুর্বলতা ব্যবহার করছে। ডিভাইসে কমান্ড।

নিরাপত্তার যথাযথ স্তর নিশ্চিত করার জন্য, শুধুমাত্র নির্বাচিত হোস্ট বা স্থানীয় নেটওয়ার্কের জন্য ওয়েব ইন্টারফেসে অ্যাক্সেস খোলার সুপারিশ করা হয়, অনেক প্রশাসক বিশ্বব্যাপী নেটওয়ার্ক থেকে সংযোগ করার বিকল্পটি ছেড়ে দেন। বিশেষত, শোদান পরিষেবা অনুসারে, বর্তমানে বিশ্বব্যাপী নেটওয়ার্কে 140 হাজারেরও বেশি সম্ভাব্য দুর্বল ডিভাইস রেকর্ড করা হয়েছে। CERT সংস্থা ইতিমধ্যেই প্রায় 35 হাজার সফলভাবে আক্রমণ করা সিসকো ডিভাইসে ক্ষতিকারক ইমপ্লান্ট ইনস্টল করা রেকর্ড করেছে।

সমস্যাটি ব্লক করার জন্য একটি সমাধান হিসাবে দুর্বলতা দূর করে এমন একটি ফিক্স প্রকাশ করার আগে, "কোন আইপি HTTP সার্ভার নেই" এবং "কোন আইপি HTTP সুরক্ষিত-সার্ভার নেই" কমান্ড ব্যবহার করে ডিভাইসে HTTP এবং HTTPS সার্ভার নিষ্ক্রিয় করার পরামর্শ দেওয়া হচ্ছে। কনসোল, বা ফায়ারওয়ালের ওয়েব ইন্টারফেসে অ্যাক্সেস সীমিত করুন। একটি দূষিত ইমপ্লান্টের উপস্থিতি পরীক্ষা করার জন্য, অনুরোধটি কার্যকর করার সুপারিশ করা হয়: curl -X POST http://IP-devices/webui/logoutconfirm.html?logon_hash=1 যা, আপস করা হলে, একটি 18-অক্ষর ফিরিয়ে দেবে হ্যাশ আপনি অতিরিক্ত ফাইল ইনস্টল করার জন্য বহিরাগত সংযোগ এবং অপারেশনগুলির জন্য ডিভাইসে লগ বিশ্লেষণ করতে পারেন। %SYS-5-CONFIG_P: লাইনে ব্যবহারকারী হিসাবে কনসোল থেকে SEP_webui_wsma_http প্রক্রিয়ার মাধ্যমে প্রোগ্রাম্যাটিকভাবে কনফিগার করা হয়েছে %SEC_LOGIN-5-WEBLOGIN_SUCCESS: লগইন সাফল্য [ব্যবহারকারী: ব্যবহারকারী] [উৎস: উৎস_আইপি_অ্যাড্রেস] 05:41:11WTC U17WTC -2023-INSTALL_OPERATION_INFO: ব্যবহারকারী: ব্যবহারকারীর নাম, ইনস্টল অপারেশন: ADD ফাইলের নাম

আপোষের ক্ষেত্রে, ইমপ্লান্ট অপসারণ করতে, কেবল ডিভাইসটি রিবুট করুন। আক্রমণকারীর দ্বারা তৈরি করা অ্যাকাউন্টগুলি পুনরায় চালু করার পরে রাখা হয় এবং ম্যানুয়ালি মুছে ফেলতে হবে। ইমপ্লান্টটি /usr/binos/conf/nginx-conf/cisco_service.conf ফাইলে অবস্থিত এবং এতে লুয়া ভাষায় 29টি লাইন কোড রয়েছে, যা সিস্টেম স্তরে নির্বিচারে আদেশ কার্যকর করতে বা প্রতিক্রিয়া হিসাবে Cisco IOS XE কমান্ড ইন্টারফেস প্রদান করে। পরামিতিগুলির একটি বিশেষ সেট সহ একটি HTTP অনুরোধে।

উত্স: opennet.ru