સિસ્કો IOS XE માં નબળાઈનો ઉપયોગ બેકડોર ઇન્સ્ટોલ કરવા માટે થાય છે

Cisco IOS XE ઓપરેટિંગ સિસ્ટમથી સજ્જ ભૌતિક અને વર્ચ્યુઅલ સિસ્કો ઉપકરણો પર ઉપયોગમાં લેવાતા વેબ ઇન્ટરફેસના અમલીકરણમાં, એક જટિલ નબળાઈ (CVE-2023-20198) ઓળખવામાં આવી છે, જે પ્રમાણીકરણ વિના, સિસ્ટમની સંપૂર્ણ ઍક્સેસની મંજૂરી આપે છે. વિશેષાધિકારોનું મહત્તમ સ્તર, જો તમારી પાસે નેટવર્ક પોર્ટની ઍક્સેસ હોય જેના દ્વારા વેબ ઇન્ટરફેસ ચાલે છે. સમસ્યાનો ખતરો એ હકીકતને કારણે વધી ગયો છે કે હુમલાખોરો એડમિનિસ્ટ્રેટર અધિકારો સાથે વધારાના એકાઉન્ટ્સ “cisco_tac_admin” અને “cisco_support” બનાવવા માટે એક મહિનાથી અનપેચ્ડ નબળાઈનો ઉપયોગ કરી રહ્યાં છે, અને એક્ઝિક્યુટ કરવા માટે રિમોટ એક્સેસ પ્રદાન કરતા ઉપકરણો પર ઑટોમૅટિક રીતે પ્રત્યારોપણ કરવા માટે. ઉપકરણ પર આદેશો.

સુરક્ષાના યોગ્ય સ્તરને સુનિશ્ચિત કરવા માટે, ફક્ત પસંદ કરેલા હોસ્ટ્સ અથવા સ્થાનિક નેટવર્ક માટે જ વેબ ઇન્ટરફેસની ઍક્સેસ ખોલવાની ભલામણ કરવામાં આવે છે તે હકીકત હોવા છતાં, ઘણા સંચાલકો વૈશ્વિક નેટવર્કથી કનેક્ટ થવાનો વિકલ્પ છોડી દે છે. ખાસ કરીને, શોદાન સેવા અનુસાર, હાલમાં વૈશ્વિક નેટવર્ક પર 140 હજારથી વધુ સંભવિત રૂપે નબળા ઉપકરણો રેકોર્ડ કરવામાં આવ્યા છે. CERT સંસ્થાએ પહેલાથી જ દૂષિત ઇમ્પ્લાન્ટ ઇન્સ્ટોલ કરેલા લગભગ 35 હજાર સિસ્કો ઉપકરણો પર સફળતાપૂર્વક હુમલો કર્યાની નોંધ કરી છે.

સમસ્યાને અવરોધિત કરવાના ઉપાય તરીકે, નબળાઈને દૂર કરતી ફિક્સ પ્રકાશિત કરતા પહેલા, "નો ip HTTP સર્વર" અને "નો ip HTTP સુરક્ષિત-સર્વર નથી" આદેશોનો ઉપયોગ કરીને ઉપકરણ પર HTTP અને HTTPS સર્વરને અક્ષમ કરવાની ભલામણ કરવામાં આવે છે. કન્સોલ, અથવા ફાયરવોલ પર વેબ ઈન્ટરફેસની ઍક્સેસ મર્યાદિત કરો. દૂષિત પ્રત્યારોપણની હાજરી તપાસવા માટે, વિનંતીને અમલમાં મૂકવાની ભલામણ કરવામાં આવે છે: curl -X POST http://IP-devices/webui/logoutconfirm.html?logon_hash=1 જે, જો ચેડા કરવામાં આવે તો, 18-અક્ષર પરત કરશે. હેશ તમે વધારાની ફાઇલોને ઇન્સ્ટોલ કરવા માટે બાહ્ય જોડાણો અને ઑપરેશન માટે ઉપકરણ પરના લોગનું વિશ્લેષણ પણ કરી શકો છો. %SYS-5-CONFIG_P: લાઇન %SEC_LOGIN-5-WEBLOGIN_SUCCESS પર વપરાશકર્તા તરીકે કન્સોલમાંથી પ્રક્રિયા SEP_webui_wsma_http દ્વારા પ્રોગ્રામેટિકલી ગોઠવેલ: 05:41:11TC WUIED %17TC UB2023 પર લૉગિન સફળતા [વપરાશકર્તા: વપરાશકર્તા] [સ્રોત: સ્ત્રોત_IP_સરનામું] -6-INSTALL_OPERATION_INFO: વપરાશકર્તા: વપરાશકર્તાનામ, ઑપરેશન ઇન્સ્ટોલ કરો: ફાઇલનામ ઉમેરો

સમાધાનના કિસ્સામાં, ઇમ્પ્લાન્ટને દૂર કરવા માટે, ફક્ત ઉપકરણને રીબૂટ કરો. હુમલાખોર દ્વારા બનાવેલ એકાઉન્ટ્સ પુનઃપ્રારંભ પછી જાળવી રાખવામાં આવે છે અને તેને મેન્યુઅલી કાઢી નાખવામાં આવે છે. ઇમ્પ્લાન્ટ /usr/binos/conf/nginx-conf/cisco_service.conf ફાઇલમાં સ્થિત છે અને તેમાં લુઆ ભાષામાં કોડની 29 લાઇનનો સમાવેશ થાય છે, જે સિસ્ટમ સ્તર પર મનસ્વી આદેશોનો અમલ અથવા જવાબમાં સિસ્કો IOS XE કમાન્ડ ઇન્ટરફેસ પ્રદાન કરે છે. પરિમાણોના વિશિષ્ટ સમૂહ સાથે HTTP વિનંતી માટે.

સોર્સ: opennet.ru