Sicherheitsanfälligkeit in Cisco IOS XE ermöglicht das Einrichten eines Backdoors

Im Web-Interface, das auf physischen und virtuellen Cisco-Geräten mit dem Betriebssystem Cisco IOS XE verwendet wird, wurde eine kritische Sicherheitsanfälligkeit (CVE-2023-20198) entdeckt. Diese ermöglicht es unbefugten Benutzern, ohne Authentifizierung vollen Zugriff auf das System mit den höchsten Berechtigungen zu erlangen, sofern sie Zugang zu dem Netzwerkport haben, über den das Web-Interface betrieben wird. Die Gefahr wird verschärft durch die Tatsache, dass Angreifer seit über einem Monat diese nicht gepatchte Sicherheitsanfälligkeit nutzen, um zusätzliche Konten „cisco_tac_admin“ und „cisco_support“ mit Administratorrechten zu erstellen und automatisiert Implantate auf den Geräten zu platzieren, die einen Remote-Zugriff für die Ausführung von Befehlen auf dem Gerät ermöglichen.

Obwohl es empfohlen wird, den Zugriff auf das Web-Interface nur für ausgewählte Hosts oder lokale Netzwerke zu öffnen, lassen viele Administratoren dennoch den Zugriff aus dem globalen Netzwerk zu. Laut dem Shodan-Dienst sind derzeit über 140.000 potenziell anfällige Geräte im globalen Netzwerk erfasst. Die CERT-Organisation hat bereits etwa 35.000 erfolgreich angegriffene Cisco-Geräte dokumentiert, auf denen ein schädlicher Implantat installiert ist.

Um die Sicherheitsanfälligkeit zu beheben, wird empfohlen, den HTTP- und HTTPS-Server auf dem Gerät vorübergehend zu deaktivieren. Dies kann in der Konsole mit den Befehlen „no ip http server“ und „no ip http secure-server“ erfolgen oder indem der Zugriff auf die Web-Oberfläche über die Firewall eingeschränkt wird. Zur Überprüfung auf schädliche Implantate kann folgender Befehl ausgeführt werden: curl -X POST http://IP-gerät/webui/logoutconfirm.html?logon_hash=1. Bei einer Kompromittierung gibt dieser Befehl einen 18-stelligen Hash zurück. Zudem kann das Gerät auf ungewöhnliche Verbindungen und Installationsaktivitäten zusätzlicher Dateien überprüft werden. %SYS-5-CONFIG_P: Programmgesteuert konfiguriert durch den Prozess SEP_webui_wsma_http aus der Konsole als Benutzer in der Zeile %SEC_LOGIN-5-WEBLOGIN_SUCCESS: Anmeldung erfolgreich [Benutzer: Benutzer] [Quelle: Quell-IP-Adresse] um 05:41:11 UTC am Mittwoch, den 17. Oktober 2023 %WEBUI-6-INSTALL_OPERATION_INFO: Benutzer: benutzername, Installationsvorgang: HINZUFÜGEN dateiname

Im Falle einer Kompromittierung reicht es aus, das Gerät neu zu starten, um das Implantat zu entfernen. Die vom Angreifer erstellten Konten bleiben nach dem Neustart erhalten und müssen manuell gelöscht werden. Das Implantat befindet sich in der Datei /usr/binos/conf/nginx-conf/cisco_service.conf und enthält 29 Zeilen Code in Lua, die die Ausführung beliebiger Befehle auf Systemebene oder über die Cisco IOS XE-Befehlszeilenschnittstelle in Reaktion auf eine HTTP-Anfrage mit einem speziellen Parametersatz ermöglichen.

Quelle: opennet.ru