ຊ່ອງໂຫວ່ໃນ Cisco IOS XE ໃຊ້ໃນການຕິດຕັ້ງ backdoor

ໃນການປະຕິບັດການໂຕ້ຕອບຂອງເວັບທີ່ໃຊ້ໃນອຸປະກອນ Cisco ທາງກາຍຍະພາບ ແລະ virtual ທີ່ມີລະບົບປະຕິບັດການ Cisco IOS XE, ມີຈຸດອ່ອນທີ່ສໍາຄັນ (CVE-2023-20198) ໄດ້ຖືກລະບຸ, ເຊິ່ງອະນຸຍາດໃຫ້, ໂດຍບໍ່ມີການກວດສອບຄວາມຖືກຕ້ອງ, ເຂົ້າເຖິງລະບົບຢ່າງເຕັມທີ່ກັບລະບົບ. ລະດັບສິດທິສູງສຸດ, ຖ້າທ່ານມີການເຂົ້າເຖິງພອດເຄືອຂ່າຍໂດຍຜ່ານການໂຕ້ຕອບຂອງເວັບໄຊຕ໌ທີ່ດໍາເນີນການ. ອັນຕະລາຍຂອງບັນຫາແມ່ນຮ້າຍແຮງຂຶ້ນໂດຍຄວາມຈິງທີ່ວ່າຜູ້ໂຈມຕີໄດ້ໃຊ້ຊ່ອງໂຫວ່ທີ່ບໍ່ໄດ້ຮັບການປັບປຸງເປັນເວລາຫນຶ່ງເດືອນເພື່ອສ້າງບັນຊີເພີ່ມເຕີມ "cisco_tac_admin" ແລະ "cisco_support" ທີ່ມີສິດທິຜູ້ເບິ່ງແຍງລະບົບ, ແລະວາງ implant ອັດຕະໂນມັດໃນອຸປະກອນທີ່ສະຫນອງການເຂົ້າເຖິງຫ່າງໄກສອກຫຼີກເພື່ອດໍາເນີນການ. ຄໍາສັ່ງຢູ່ໃນອຸປະກອນ.

ເຖິງວ່າຈະມີຄວາມຈິງທີ່ວ່າເພື່ອຮັບປະກັນລະດັບຄວາມປອດໄພທີ່ເຫມາະສົມ, ມັນແນະນໍາໃຫ້ເປີດການເຂົ້າເຖິງເວັບໄຊຕ໌ພຽງແຕ່ກັບເຈົ້າພາບທີ່ເລືອກຫຼືເຄືອຂ່າຍທ້ອງຖິ່ນ, ຜູ້ບໍລິຫານຫຼາຍຄົນອອກຈາກທາງເລືອກໃນການເຊື່ອມຕໍ່ຈາກເຄືອຂ່າຍທົ່ວໂລກ. ໂດຍສະເພາະ, ອີງຕາມການບໍລິການ Shodan, ປະຈຸບັນມີຫຼາຍກວ່າ 140 ພັນອຸປະກອນທີ່ມີຄວາມສ່ຽງທີ່ຖືກບັນທຶກໄວ້ໃນເຄືອຂ່າຍທົ່ວໂລກ. ອົງການຈັດຕັ້ງ CERT ໄດ້ບັນທຶກແລ້ວປະມານ 35 ພັນຄົນໄດ້ໂຈມຕີອຸປະກອນ Cisco ສົບຜົນສໍາເລັດດ້ວຍການຕິດຕັ້ງ implant malicious.

ກ່ອນທີ່ຈະເຜີຍແຜ່ການແກ້ໄຂທີ່ລົບລ້າງຄວາມອ່ອນແອ, ເປັນການແກ້ໄຂເພື່ອສະກັດກັ້ນບັນຫາ, ແນະນໍາໃຫ້ປິດເຄື່ອງແມ່ຂ່າຍ HTTP ແລະ HTTPS ໃນອຸປະກອນໂດຍໃຊ້ຄໍາສັ່ງ "ບໍ່ມີ ip http server" ແລະ "ບໍ່ມີ ip http secure-server" ໃນ. console, ຫຼືຈໍາກັດການເຂົ້າເຖິງສ່ວນຕິດຕໍ່ເວັບໃນ firewall. ເພື່ອກວດເບິ່ງການປະກົດຕົວຂອງ implant ທີ່ເປັນອັນຕະລາຍ, ມັນແນະນໍາໃຫ້ປະຕິບັດຄໍາຮ້ອງຂໍ: curl -X POST http://IP-devices/webui/logoutconfirm.html?logon_hash=1 ເຊິ່ງ, ຖ້າຖືກປະນີປະນອມ, ຈະສົ່ງຄືນ 18 ຕົວອັກສອນ. ແຮຊ. ນອກນັ້ນທ່ານຍັງສາມາດວິເຄາະບັນທຶກກ່ຽວກັບອຸປະກອນສໍາລັບການເຊື່ອມຕໍ່ extraneous ແລະການດໍາເນີນງານການຕິດຕັ້ງໄຟລ໌ເພີ່ມເຕີມ. %SYS-5-CONFIG_P: ຕັ້ງຄ່າໂປຣແກຣມໂດຍຂະບວນການ SEP_webui_wsma_http ຈາກ console ເປັນຜູ້ໃຊ້ໃນແຖວ %SEC_LOGIN-5-WEBLOGIN_SUCCESS: ເຂົ້າສູ່ລະບົບສຳເລັດ [ຜູ້ໃຊ້: user] [ແຫຼ່ງທີ່ມາ: source_IP_address] ເວລາ 05:41:11 UTC Wed 17 ຕຸລາ 2023 -6-INSTALL_OPERATION_INFO: ຜູ້ໃຊ້: ຊື່ຜູ້ໃຊ້, ການຕິດຕັ້ງການດໍາເນີນງານ: ADD ຊື່ໄຟລ໌

ໃນກໍລະນີທີ່ມີການປະນີປະນອມ, ເພື່ອເອົາ implant ອອກ, ພຽງແຕ່ reboot ອຸປະກອນ. ບັນຊີທີ່ສ້າງໂດຍຜູ້ໂຈມຕີຈະຖືກຮັກສາໄວ້ຫຼັງຈາກການປິດເປີດໃໝ່ ແລະຕ້ອງຖືກລຶບດ້ວຍຕົນເອງ. implant ຕັ້ງຢູ່ໃນໄຟລ໌ /usr/binos/conf/nginx-conf/cisco_service.conf ແລະປະກອບມີ 29 ແຖວຂອງລະຫັດໃນພາສາ Lua, ສະຫນອງການປະຕິບັດຄໍາສັ່ງທີ່ຕົນເອງມັກໃນລະດັບລະບົບຫຼືການໂຕ້ຕອບຄໍາສັ່ງ Cisco IOS XE ໃນການຕອບສະຫນອງ. ຕໍ່ກັບຄໍາຮ້ອງຂໍ HTTP ທີ່ມີຊຸດພາລາມິເຕີພິເສດ .

ແຫຼ່ງຂໍ້ມູນ: opennet.ru