Haavatavus Cisco IOS XE-s, mida kasutatakse tagavaraksesüsteemi installimiseks

Cisco IOS XE operatsioonisüsteemiga füüsiliste ja virtuaalsete seadmete web-liidese rakenduses tuvastati kriitiline haavatavus (CVE-2023-20198), mis võimaldab autentimise läbimata saada täieliku juurdepääsu süsteemile maksimaalse privileegitasemega, juhul kui on juurdepääs võrguportile, mille kaudu web-liides töötab. Probleemi ohtlikkust suurendab see, et häkkerid on juba kuu aega kasutanud parandamata haavatavust, et luua täiendavaid „cisco_tac_admin“ ja „cisco_support“ administraatoriõigustega konto ja automatiseerida implantaatide paigutamine seadmetesse, mis annavad kaugjuurdepääsu seadmes käskude täitmiseks.

Kuigi nõutava turvataseme tagamiseks soovitatakse avada juurdepääs web-liidesele ainult valitud hostidele või kohalikule võrgule, jätavad paljud administraatorid võimaluse ühenduda ka globaalsetest võrkudest. Eriti on Shodani teenuse andmetel praegu globaalses võrgus registreeritud üle 140 000 potentsiaalselt haavatava seadme. CERT on juba tuvastanud umbes 35 000 edukalt rünnatud Cisco seadet, millel on pahatahtlik implantaat.

Enne paranduse avaldamist, mis eemaldab haavatavuse, soovitatakse probleemide blokeerimiseks välja lülitada seadme HTTP- ja HTTPS-server, kasutades konsoolis käsku „no ip http server“ ja „no ip http secure-server“, või piirata juurdepääsu web-liidesele tulemüüriga. Kahjuliku implantaadi olemasolu kontrollimiseks soovitatakse saata päring: curl -X POST http://IP-DEVICE/webui/logoutconfirm.html?logon_hash=1, mis saadab 18-märgilise räsimärgi, kui süsteem on kompromiteeritud. Samuti saab seadmes analüüsida logi kõrvaliste ühenduste ja täiendavate failide paigaldamise toimingute osas. %SYS-5-CONFIG_P: Konfigureeritud programmiliselt protsessilt SEP_webui_wsma_http konsoolist kasutajana reaalajas %SEC_LOGIN-5-WEBLOGIN_SUCCESS: Sisse Logimine Õnnestus [kasutaja: kasutaja] [Allikas: source_IP_address] kell 05:41:11 UTC Kolmapäeval, 17. oktoobril 2023 %WEBUI-6-INSTALL_OPERATION_INFO: Kasutaja: kasutajanimi, Paigaldamisoperatsioon: ADD failinimi

Seoses kompromiteerimisega piisab implantaadi eemaldamiseks seadme taaskäivitamisest. Ründaja loodud kasutajakontod säilivad taaskäivitamise järel ja need tuleb käsitsi eemaldada. Implantaat on salvestatud failis /usr/binos/conf/nginx-conf/cisco_service.conf ja sisaldab 29 rida koodi keeles Lua, mis tagab süsteemi- või Cisco IOS XE käsurida tasemel juhiste täitmise teatavate parameetritega HTTP-päringu vastusena.

Allikas: opennet.ru