Η Cisco προειδοποίησε τους διαχειριστές για μια νέα ευπάθεια zero-day μέγιστης σοβαρότητας στο λογισμικό IOS XE, που επιτρέπει σε μη εξουσιοδοτημένους επιτιθέμενους να αποκτήσουν πλήρη δικαιώματα διαχειριστή και να αναλάβουν πλήρη έλεγχο των επηρεαζόμενων routers και switches από απόσταση.
Δείτε επίσης: H Cisco διορθώνει ευπάθεια στο Cisco Emergency Responder
Η εταιρεία αναφέρει ότι η κρίσιμη ευπάθεια (καταγεγραμμένη ως CVE-2023-20198) επηρεάζει μόνο τις συσκευές που λειτουργούν με το χαρακτηριστικό της διεπαφής χρήστη ιστού (Web UI) ενεργοποιημένο, το οποίο έχει επίσης ενεργοποιημένη τη δυνατότητα διακομιστή HTTP ή HTTPS.
“Η Cisco ανακάλυψε την ενεργή κατάχρηση μιας προηγουμένως άγνωστης ευπάθειας στο χαρακτηριστικό Web User Interface (Web UI) του λογισμικού Cisco IOS XE (CVE-2023-20198) όταν εκτίθεται στο διαδίκτυο ή μη αξιόπιστα δίκτυα“, αποκάλυψε η εταιρεία.
“Η επιτυχής εκμετάλλευση αυτής της ευπάθειας επιτρέπει σε έναν επιτιθέμενο να δημιουργήσει ένα λογαριασμό στην επηρεαζόμενη συσκευή με πρόσβαση επιπέδου προνομίων 15, επιτρέποντάς του να έχει πλήρη έλεγχο της παραβιασμένης συσκευής και να επιτρέψει πιθανές μη εξουσιοδοτημένες δραστηριότητες.“
Οι επιθέσεις εντοπίστηκαν στις 28 Σεπτεμβρίου από το Τεχνικό Κέντρο Υποστήριξης της Cisco (TAC), μετά από αναφορές για ασυνήθιστη συμπεριφορά σε μία συσκευή πελάτη.
Μετά από περαιτέρω έρευνα για τις επιθέσεις, η Cisco εντόπισε σχετική δραστηριότητα που χρονολογείται από τις 18 Σεπτεμβρίου. Η κακόβουλη δραστηριότητα περιλάμβανε τη δημιουργία ενός τοπικού λογαριασμού χρήστη από ένα εξουσιοδοτημένο χρήστη με το όνομα “cisco_tac_admin” από μια ύποπτη διεύθυνση IP (5.149.249[.]74).
Στις 12 Οκτωβρίου, η εταιρεία ανακάλυψε επιπλέον δραστηριότητα που σχετίζεται με την εκμετάλλευση του CVE-2023-20198, όταν δημιουργήθηκε ένας τοπικός λογαριασμός χρήστη “cisco_support” από μια δεύτερη ύποπτη διεύθυνση IP (154.53.56[.]231). Οι επιτιθέμενοι εγκατέστησαν επίσης ένα κακόβουλο ενθέμα για την εκτέλεση αυθαίρετων εντολών στο επίπεδο συστήματος ή IOS.
Δείτε ακόμα: Cisco: Προτρέπει τους διαχειριστές να διορθώσουν ένα IOS zero-day
Η εταιρεία συνιστά στους διαχειριστές να απενεργοποιήσουν το χαρακτηριστικό του HTTP server σε συστήματα που είναι προσβάσιμα από το διαδίκτυο, έτσι ώστε να καταργηθεί το δυνητικό σημείο επίθεσης και να αποκλειστούν εισερχόμενες επιθέσεις. Εάν και οι δύο διακομιστές HTTP και HTTPS χρησιμοποιούνται, αμφότερες οι εντολές απαιτούνται για να απενεργοποιηθεί η λειτουργία του διακομιστή HTTP.
Συστήνεται ανεπιφύλακτα στις επιχειρήσεις να εξετάζουν την ύπαρξη ανεξήγητων ή πρόσφατα δημιουργημένων λογαριασμών χρηστών ως πιθανές ένδειξης κακόβουλης δραστηριότητας συνδεδεμένης με αυτήν την απειλή.
Μία προσέγγιση για τον εντοπισμό της κακόβουλης ενσωμάτωσης σε παραβιασμένες συσκευές Cisco IOS XE περιλαμβάνει την εκτέλεση της παρακάτω εντολής στη συσκευή, όπου η αντικατάσταση “DEVICEIP” αντιπροσωπεύει τη διεύθυνση IP που εξετάζεται.:
curl -k -X POST "https[:]//DEVICEIP/webui/logoutconfirm.html?logon_hash=1"
Τον προηγούμενο μήνα, η Cisco προειδοποίησε τους πελάτες της να ενημερώσουν μια άλλη ευπάθεια zero-day (CVE-2023-20109) στο λογισμικό της IOS και IOS XE που έγινε στόχος επιθέσεων από εξωτερικούς δράστες.
Δείτε επίσης: Η Cisco εξαγοράζει την εταιρεία κυβερνοασφάλειας Splunk
Η Cisco, ως ένας από τους παγκόσμιους ηγέτες στον τομέα της πληροφορικής και των τηλεπικοινωνιών, παίζει ένα κρίσιμο ρόλο στην ανίχνευση και προστασία από zero-day επιθέσεις.
Ανίχνευση Zero-day επιθέσεων
Με τη βοήθεια της προηγμένης τεχνολογίας και μιας ολόκληρης ομάδας αναλυτών ασφαλείας, η Cisco είναι σε θέση να ανιχνεύσει τυχόν νέες, άγνωστες επιθέσεις zero-day που μπορεί να επηρεάσουν τα συστήματα των πελατών της. Η Cisco χρησιμοποιεί επίσης την τεχνολογία της μηχανικής εκμάθησης και της τεχνητής νοημοσύνης για την ανίχνευση και τον αποκλεισμό των zero-day επιθέσεων. Οι αλγόριθμοι μηχανικής μάθησης αναλύουν τα δεδομένα και τη συμπεριφορά του δικτύου για να ανιχνεύσουν ανωμαλίες και επιθέσεις που δεν έχουν αναγνωριστεί προηγουμένως. Αυτός ο αυτοματοποιημένος τρόπος ανίχνευσης επιτρέπει στην Cisco να αντιμετωπίζει γρήγορα και αποτελεσματικά τις zero-day επιθέσεις.
Προστασία από Zero-day επιθέσεις
Ως μέρος της δέσμευσής της προς την ασφάλεια, η Cisco προσφέρει επίσης υψηλού επιπέδου προστασία zero-day. Αυτό περιλαμβάνει τη δημιουργία σύνθετων λύσεων για την αντιμετώπιση και εξάλειψη των απειλών πριν να φτάσουν στον τελικό χρήστη.
Ενημέρωση για την τρέχουσα απειλή IOS XE
Η εταιρεία εργάζεται αδιάκοπα για την αντιμετώπιση της απειλής και την παροχή λύσεων ασφάλειας στους πελάτες της.
Πηγή: bleepingcomputer
