Η Cisco αποκάλυψε σήμερα ένα θέμα ευπάθειας zero-day στο λογισμικό Cisco AnyConnect Secure Mobility Client με τον proof-of-concept exploit κώδικα να είναι διαθέσιμος δημόσια.
Ενώ οι ενημερώσεις ασφαλείας δεν είναι ακόμη διαθέσιμες για αυτήν την ευπάθεια κατά την αυθαίρετη εκτέλεση κώδικα, η Cisco εργάζεται για την αντιμετώπιση της με μια επιδιόρθωση να αναμένεται να έρθει σε μια μελλοντική έκδοση του client AnyConnect.
Ωστόσο, το ελάττωμα ασφαλείας στον Cisco AnyConnect Secure Mobility Client δεν έχει ακόμη αξιοποιηθεί από τους hackers, σύμφωνα με την ομάδα απόκρισης περιστατικών ασφάλειας της Cisco (PSIRT).
Συσκευές με προεπιλεγμένες ρυθμίσεις δεν είναι ευάλωτες
Η ευπάθεια υψηλής σοβαρότητας που αναφέρεται ως CVE-2020-3556 υπάρχει στο κανάλι IPC του Cisco AnyConnect Client και μπορεί να επιτρέψει σε επικυρωμένους και τοπικούς εισβολείς να εκτελέσουν κακόβουλα scripts μέσω ενός στοχευμένου χρήστη.
Επηρεάζει όλες τις client versions AnyConnect για Windows, Linux και macOS με ευάλωτες διαμορφώσεις – οι mobile clients iOS και Android δεν επηρεάζονται από αυτήν την ευπάθεια.
“Μια ευπαθής διαμόρφωση απαιτεί τόσο την ενεργοποίηση της ρύθμισης Auto Update όσο και τη ρύθμιση Enable Scripting”, εξηγεί η Ciscο. “Το Auto Update είναι ενεργοποιημένο από προεπιλογή και το Enable Scripting είναι απενεργοποιημένο από προεπιλογή.”
Η επιτυχής εκμετάλλευση απαιτεί επίσης ενεργά AnyConnect sessions και έγκυρα credentials στη στοχευμένη συσκευή.
Διαθέσιμος μετριασμός
Παρόλο που δεν υπάρχουν διαθέσιμες λύσεις για την αντιμετώπιση του CVE-2020-3556, η ευπάθεια μπορεί να μετριαστεί απενεργοποιώντας τη δυνατότητα αυτόματης ενημέρωσης.
Το «attack surface» μπορεί επίσης να μειωθεί δραστικά με την εναλλαγή της ρύθμισης Enable Scripting σε συσκευές όπου είναι ενεργοποιημένη.
Η ευπάθεια αναφέρθηκε στην Ciscο από τον Gerbert Roitburd από το Secure Mobile Networking Lab (TU Darmstadt).
Σήμερα η Ciscο διόρθωσε επίσης άλλα 11 άλλα σφάλματα υψηλής σοβαρότητας και 23 μέσης σοβαρότητας σε πολλά προϊόντα που θα μπορούσαν να οδηγήσουν σε denial of service ή αυθαίρετη εκτέλεση κώδικα σε ευάλωτες συσκευές.
Πηγή πληροφοριών: bleepingcomputer.com
