Cisco, komut enjeksiyon saldırılarında kullanılabilecek Cisco IOX uygulaması barındırma ortamında yüksek şiddetli bir güvenlik açığı ele almak için bu hafta güvenlik güncellemeleri yayınladı.
Güvenlik kusuru (CVE-2023-20076), uygulama etkinleştirme işlemi sırasında geçirilen parametrelerin eksik dezenfekte edilmesinden kaynaklanmaktadır. Güvenlik araştırmacıları Sam Quinn ve Kasimir Schulz tarafından Trellix Advanced Araştırma Merkezi ile bulundu ve bildirildi.
Kullanıcı etkileşimini gerektirmeyen düşük karmaşıklık saldırılarında başarılı bir şekilde sömürü, uzaktan tanımlanmış tehdit aktörlerinin temel işletim sisteminde kök izinleri olan komutları yürütmelerini sağlar.
Cisco Çarşamba günü yayınlanan bir güvenlik danışmanında, "Bir saldırgan, Cisco IOX uygulaması barındırma ortamında hazırlanmış bir etkinleştirme yük dosyasıyla bir uygulamayı dağıtarak ve etkinleştirerek bu güvenlik açığını kullanabilir."
Şirket, güvenlik açığının iOS XE yazılımını çalıştıran Cisco cihazlarını etkilediğini, ancak yalnızca yerel Docker'ı desteklemedikleri takdirde etkilediğini söylüyor.
IOX ile yapılandırılmış iOS XE tabanlı cihazların yanı sıra, etkilenen cihazlar listesi ayrıca 800 serisi endüstriyel ISR yönlendiricileri, CGR1000 hesaplama modülleri, IC3000 Endüstriyel Hesap Ağ Geçidi, IR510 WPAN endüstriyel yönlendiricileri ve Cisco Katalizör Erişim Noktalarını (COS-APS) içerir.
Şirket ayrıca CVE-2023-20076 kusurunun Catalyst 9000 Serisi anahtarlarını, iOS XR ve NX-OS yazılımını veya Meraki ürünlerini etkilemediğini doğruladı.
Ne Bulduk Pt. 1-CVE-2023-20076 (Kimlik Doğrulanmış Uzaktan Komut Enjeksiyonu) - Çok çeşitli @Cisco cihazlarını etkiler. - Saldırganın Cisco Web Arayüz alanına kod enjekte etmesine izin verir. - Ekibimiz, cihaz yeniden başlatmalarından kurtulan kalıcı bir kabuk kazanmak için komut enjeksiyonu kullandı.
Saldırganlar bu güvenlik açığını ancak savunmasız sistemlere idari erişimi doğrulamışlarsa kullanabilirler.
Bununla birlikte, Trellix araştırmacıları, tehdit aktörlerinin ayrıcalık artışına izin veren diğer güvenlik kusurlarından yararlandığını veya yönetici kimlik bilgileri elde etmek için çeşitli taktikleri kullanabileceğini açıkladı.
Örneğin, hedeflenen cihazlara yönetici erişimi elde etmek için şunları kullanabilirler:
Bu gereksinim yerine getirildikten sonra, saldırganlar "sınırsız erişim için CVE-2023-20076'yı kullanabilir, sistemde kötü amaçlı kodun gizlenmesine izin verir ve araştırmacıların açıkladığı gibi yeniden başlatmalar ve ürün yazılımı yükseltmeleri arasında devam eder.
"Bu güvenlik önlemi, bir saldırgan bu güvenlik açığından yararlanırsa, kötü amaçlı paketin cihaz fabrika sıfırlanana veya manuel olarak silinene kadar çalışmaya devam edeceği anlamına gelir."
Bu mümkündür, çünkü komut enjeksiyonu, sistem yeniden başlatmaları veya sistem sıfırlamaları arasındaki güvenlik açığı kalıcılığını önlemek için Cisco tarafından uygulanan hafifletmeleri atlamayı sağlar.
Cisco'nun Ürün Güvenliği Olay Müdahale Ekibi (PSIRT), bu güvenlik açığının vahşi doğada kullanıldığına dair hiçbir kanıt bulamadığını söyledi.
Ocak ayında Cisco, müşterileri yaşam sonu VPN yönlendiricilerinin birden fazla modelini etkileyen kamu istismar koduyla kritik bir kimlik doğrulama baypas güvenlik açığı (CVE-2023-20025) konusunda uyardı.
Bir hafta sonra, Censys 20.000'den fazla RV016, RV042, RV042G ve RV082 Cisco yönlendiricileri CVE-2023-20025'e karşı açıldı ve saldırılara maruz kaldı.
Bilgisayar korsanları, kötü amaçlı yazılım yüklemek için kaktüs kritik hatası, ters kabukları açmak
Cisco, EOL yönlendiricilerindeki sıfır gününü atlatmaya yönelik kimlik doğrulamasını düzeltmeyecek
Goanywhere Mft Zero-Day Güvenlik Açığı, bilgisayar korsanlarının ihlal sunucularına izin verir
Atlassian kritik Jira Service Management Auth Kusurunu uyarıyor
Comptia, Cisco ve daha fazlasında sertifikalar için tren, bu 30 dolarlık kurs anlaşması
Kaynak: Bleeping Computer