Nell'implementazione dell'interfaccia web utilizzata su dispositivi fisici e virtuali Cisco dotati del sistema operativo Cisco IOS XE, è stata identificata una vulnerabilità critica (CVE-2023-20198) che consente di ottenere accesso completo al sistema con il massimo livello di privilegi senza autenticazione, a condizione di avere accesso alla porta di rete attraverso cui funziona l'interfaccia web. Il problema è aggravato dal fatto che i criminali informatici stanno già sfruttando da un mese la vulnerabilità non corretta per creare account aggiuntivi "cisco_tac_admin" e "cisco_support" con diritti di amministratore e per installare automaticamente su dispositivi un'impronta dannosa che fornisce accesso remoto per l'esecuzione di comandi sul dispositivo.
Nonostante si raccomandi di limitare l'accesso all'interfaccia web solo a host selezionati o alla rete locale per garantire un adeguato livello di sicurezza, molti amministratori lasciano aperta la connessione anche dalla rete globale. In particolare, secondo il servizio Shodan, attualmente nella rete globale sono stati registrati oltre 140.000 dispositivi potenzialmente vulnerabili. L'organizzazione CERT ha già registrato circa 35.000 dispositivi Cisco attaccati con successo, sui quali è installata un'impronta dannosa.
Fino alla pubblicazione della correzione per la vulnerabilità, si consiglia di disabilitare il server HTTP e HTTPS sul dispositivo come soluzione alternativa per bloccare il problema, utilizzando nella console i comandi "no ip http server" e "no ip http secure-server", oppure di limitare l'accesso all'interfaccia web tramite il firewall. Per verificare la presenza di un'impronta dannosa, si raccomanda di eseguire la seguente richiesta: curl -X POST http://IP-del-dispositivo/webui/logoutconfirm.html?logon_hash=1 che, in caso di compromissione, restituirà un hash di 18 caratteri. Inoltre, sul dispositivo si può analizzare il log alla ricerca di connessioni non autorizzate e operazioni relative all'installazione di file aggiuntivi. %SYS-5-CONFIG_P: Configurato programmaticamente dal processo SEP_webui_wsma_http dalla console come utente sulla linea %SEC_LOGIN-5-WEBLOGIN_SUCCESS: Login riuscito [utente: user] [Fonte: address_IP_sorgente] alle 05:41:11 UTC Mer Oct 17 2023 %WEBUI-6-INSTALL_OPERATION_INFO: Utente: username, Operazione di installazione: AGGIUNGI nome_file
In caso di compromissione, per rimuovere l'impianto è sufficiente riavviare il dispositivo. Gli account creati dall'attaccante vengono conservati dopo il riavvio e devono essere eliminati manualmente. L'impianto è collocato nel file /usr/binos/conf/nginx-conf/cisco_service.conf e include 29 righe di codice in linguaggio Lua, che consentono l'esecuzione di comandi arbitrari a livello di sistema o della console di comando Cisco IOS XE in risposta a una richiesta HTTP con un set speciale di parametri.
Fonte: opennet.ru
