Nell'implementazione dell'interfaccia web utilizzata su dispositivi fisici e virtuali Cisco, dotati del sistema operativo Cisco IOS XE, è stata individuata una vulnerabilità critica (CVE-2023-20198) che consente l'accesso completo al sistema con il massimo livello di privilegi, senza necessità di autenticazione, qualora sia disponibile l'accesso alla porta di rete attraverso cui funziona l'interfaccia web. La gravità del problema è amplificata dal fatto che i malintenzionati stanno sfruttando questa vulnerabilità non corretta da un mese per creare ulteriori account "cisco_tac_admin" e "cisco_support" con diritti di amministratore e per piazzare automaticamente un impianto sui dispositivi, fornendo accesso remoto per l'esecuzione di comandi sul dispositivo.
Sebbene sia consigliato limitare l'accesso all'interfaccia web solo a host specifici o alla rete locale per garantire un adeguato livello di sicurezza, molti amministratori consentono comunque connessioni dalla rete globale. In particolare, secondo il servizio Shodan, attualmente nella rete globale sono stati identificati oltre 140.000 dispositivi potenzialmente vulnerabili. L'organizzazione CERT ha già registrato circa 35.000 dispositivi Cisco attaccati con successo, su cui è stato installato un impianto malevolo.
Fino alla pubblicazione di una correzione per risolvere la vulnerabilità, si consiglia come soluzione temporanea di disattivare il server HTTP e HTTPS sul dispositivo utilizzando i comandi in console «no ip http server» e «no ip http secure-server», oppure di limitare l'accesso all'interfaccia web tramite un firewall. Per verificare la presenza di un impianto dannoso, si consiglia di eseguire la seguente richiesta: curl -X POST http://IP-dispositivo/webui/logoutconfirm.html?logon_hash=1, che in caso di compromissione restituirà un hash di 18 caratteri. Inoltre, sul dispositivo è possibile esaminare i registri per identificare connessioni sospette e operazioni relative all'installazione di file aggiuntivi. %SYS-5-CONFIG_P: Configurato programmaticamente dal processo SEP_webui_wsma_http dalla console come utente alla linea %SEC_LOGIN-5-WEBLOGIN_SUCCESS: Accesso riuscito [utente: user] [Fonte: source_IP_address] alle 05:41:11 UTC mercoledì 17 ottobre 2023 %WEBUI-6-INSTALL_OPERATION_INFO: Utente: username, Operazione di installazione: AGGIUNGI filename
In caso di compromissione, è sufficiente riavviare il dispositivo per rimuovere l'impianto. Gli account creati dall'attaccante vengono mantenuti anche dopo il riavvio e devono essere rimossi manualmente. L'impianto è collocato nel file /usr/binos/conf/nginx-conf/cisco_service.conf e comprende 29 righe di codice in Lua, che consentono l'esecuzione di comandi arbitrari a livello di sistema o dell'interfaccia a riga di comando Cisco IOS XE in risposta a richieste HTTP con un insieme specifico di parametri.
Fonte: opennet.ru
