Sicherheitsanfälligkeit in Cisco IOS XE, die für das Einrichten eines Backdoors verwendet wird

Bei der Implementierung der Web-Oberfläche, die auf physischen und virtuellen Cisco-Geräten mit dem Betriebssystem Cisco IOS XE verwendet wird, wurde eine kritische Schwachstelle (CVE-2023-20198) entdeckt, die es ohne Authentifizierung ermöglicht, vollen Zugriff auf das System mit maximalen Berechtigungen zu erhalten, wenn Zugang zum Netzwerkport besteht, über den die Web-Oberfläche funktioniert. Das Problem wird durch die Tatsache verschärft, dass Angreifer seit einem Monat die unbehobene Schwachstelle ausnutzen, um zusätzliche Benutzerkonten „cisco_tac_admin“ und „cisco_support“ mit Administratorrechten zu erstellen und um automatisiert auf den Geräten Implantate zu platzieren, die Remote-Zugriff zur Ausführung von Befehlen auf dem Gerät ermöglichen.

Obwohl empfohlen wird, den Zugriff auf die Web-Oberfläche nur für ausgewählte Hosts oder Netzwerke zu öffnen, lassen viele Administratoren die Möglichkeit einer Verbindung auch aus dem globalen Netzwerk zu. Insbesondere sind laut dem Shodan-Dienst derzeit über 140.000 potenziell angreifbare Geräte im globalen Netzwerk festgestellt worden. Die Organisation CERT hat bereits etwa 35.000 erfolgreich angegriffene Cisco-Geräte registriert, auf denen sich schädliche Implantate befinden.

Bis zur Veröffentlichung des Patches zur Behebung der Schwachstelle wird als Übergangslösung empfohlen, den HTTP- und HTTPS-Server auf dem Gerät zu deaktivieren, indem in der Konsole die Befehle „no ip http server“ und „no ip http secure-server“ verwendet werden, oder den Zugang zur Web-Oberfläche durch die Firewall zu beschränken. Um das Vorhandensein eines schädlichen Implantats zu überprüfen, wird empfohlen, die Anfrage auszuführen: curl -X POST http://IP-gerät/webui/logoutconfirm.html?logon_hash=1, die im Falle einer Kompromittierung einen 18-stelligen Hash zurückgibt. Auch auf dem Gerät kann das Protokoll auf verdächtige Verbindungen und die Durchführung von Operationen zur Installation zusätzlicher Dateien analysiert werden. %SYS-5-CONFIG_P: Programmgesteuert konfiguriert von Prozess SEP_webui_wsma_http aus der Konsole als Benutzer in Zeile %SEC_LOGIN-5-WEBLOGIN_SUCCESS: Anmeldung erfolgreich [Benutzer: Benutzer] [Quelle: Quell-IP-Adresse] um 05:41:11 UTC Mi. 17. Okt 2023 %WEBUI-6-INSTALL_OPERATION_INFO: Benutzer: benutzername, Installationsoperation: ADD dateiname

Im Falle einer Kompromittierung genügt es, das Gerät neu zu starten, um das Implantat zu entfernen. Die vom Angreifer erstellten Konten bleiben nach dem Neustart erhalten und müssen manuell gelöscht werden. Das Implantat befindet sich in der Datei /usr/binos/conf/nginx-conf/cisco_service.conf und umfasst 29 Zeilen Code in Lua, die die Ausführung beliebiger Befehle auf System- oder Cisco IOS XE-Befehlszeilenebene als Reaktion auf HTTP-Anfragen mit einer speziellen Parametergruppe ermöglichen.

Quelle: opennet.ru