Lỗ hổng 0-Day trong vụ rò rỉ của CIA ảnh hưởng đến hơn 300 mẫu switch của Cisco

[WhiteHat News #ID:0911]

[Update ngày 10/5] Cisco vừa phát hành bản cập nhật vá lỗ hổng IOS/IOS XE nghiêm trọng ảnh hưởng đến hơn 300 model switch của hãng. Cisco cũng cho biết cập nhật bản vá là cách duy nhất để xử lý lỗ hổng này. Đồng thời, hãng cũng phát hành công cụ Cisco IOS Software Checker để phát hiện các thiết bị bị ảnh hưởng.

Theo Softpedia​

-----------------------------------

Cisco đưa ra cảnh báo về lỗ hổng IOS/IOS XE nghiêm trọng ảnh hưởng đến hơn 300 model switch của hãng.

Cisco phát hiện lỗ hổng ở mức độ nghiêm trọng cao nhất này nằm trong sản phẩm của hãng khi đang phân tích "Vault 7" - khoảng 8.761 tài liệu và tệp tin do Wikileaks tiết lộ vào tuần trước, tuyên bố chi tiết các công cụ và thủ thuật hack của Cơ quan Tình báo Trung ương (CIA).

​

Lỗ hổng nằm trong mã xử lý của giao thức quản lý nhóm CMP trong Cisco IOS và Cisco IOS XE Software.

Nếu bị khai thác, lỗ hổng (CVE-2017-3881) có thể cho phép hacker khởi động lại thiết bị hoặc thực thi mã độc từ xa với quyền quản trị nhằm kiểm soát thiết bị, Cisco cho hay.

Giao thức CMP được thiết kế để truyền tải thông tin về các cluster giữa các thành viên của cluster bằng Telnet hoặc SSH.

Lỗ hổng nằm trong cấu hình mặc định của các thiết bị Cisco bị ảnh hưởng, ngay cả khi người dùng không cấu hình các lệnh cấu hình cluster. Lỗ hổng này có thể bị khai thác trong quá trình thiết lập phiên Telnet với IPv4 hoặc IPv6.

Theo các nhà nghiên cứu của Cisco, lỗi này xảy ra trong các kết nối Telnet trong CMP, do hai yếu tố:

- Giao thức này không giới hạn việc sử dụng các tùy chọn Telnet CMP riêng biệt chỉ đối với các liên lạc nội bộ, cục bộ giữa các thành viên cluster; thay vào đó, nó chấp nhận và xử lý các lệnh qua bất kỳ kết nối Telnet nào.

- Việc xử lý không đúng các tùy chọn Telnet CMP không đúng định dạng.

Các nhà nghiên cứu cho biết, để khai thác lỗ hổng này, kẻ tấn công có thể gửi "các tùy chọn Telnet CMP không đúng định dạng khi thiết lập một phiên Telnet với một thiết bị Cisco bị ảnh hưởng được cấu hình để nhận các kết nối Telnet", các nhà nghiên cứu cho biết.

Việc khai thác này có thể cho phép tin tặc thực thi mã độc từ xa và kiểm soát hoàn toàn thiết bị bị ảnh hưởng hoặc gây ra việc tải lại thiết bị bị ảnh hưởng.

Hãy vô hiệu hoá Telnet trên model lỗi – Vẫn chưa có bản vá!

Lỗ hổng ảnh hưởng đến 264 switch Catalyst, 51 switch Ethernet công nghiệp và 3 thiết bị khác bao gồm switch Catalyst, switch Embedded Service 2020, Enhanced Layer 2/3 EtherSwitch Service Module, Enhanced Layer 2 EtherSwitch Service Module, swith ME 4924-10GE, switch IE Industrial Ethernet, RF Gateway 10, SM-X Layer 2/3 EtherSwitch Service Module và Gigabit Ethernet Switch Module (CGESM) cho HP.

Hiện tại, lỗ hổng này chưa được vá và Cisco khuyến cáo người dùng vô hiệu hóa kết nối Telnet với các thiết bị switch cho SSH cho đến khi có bản vá.

Cisco sẽ update công cụ IOS Software Checker của mình ngay khi có bản vá.

Nguồn: The Hacker News​

 

Cluster Management Protocol là giao thức để trao đổi thông tin giữa các thiết bị chạy cluster với nhau, bằng việc sự dụng Telnet hoặc SSH.

Như đã nói ở trên Hacker sẽ lợi dụng việc gửi các tùy chọn telnet CMP không đúng định dạng để thiết lập các phiên Telnet với các thiết bị Cisco từ đó thực thi mã độc và thực hiện chiếm quyền điều khiển thiết bị.

Hiện tại lỗ hổng này chưa được Cisco khắc phục và khuyến cáo người dùng sử dụng SSH thay vì sử dụng Telnet.

--> Thực ra không phải chỉ vì lỗ hổng này, tôi vẫn khuyên các Admin nên sử dụng SSH thay vì Telnet đơn giản vì dữ liệu Telnet không hề được mã hóa mà ở dạng clear-text ,Hacker hoàn toàn có thể bắt được bằng việc sử dụng các công cụ đơn giản.

1) Cách kiểm tra trên thiết bị có hỗ trợ CMP, bật Telnet không.
*) Lỗ hổng trên chỉ phát sinh khi hội tụ đủ hai yêu tố:

+ Thiết bị có hỗ trợ giao thức CMP.
+ Có cấu hình Telnet.​

- Để thực hiện kiểm tra xem thiết bị có hỗ trợ giao thức CMP không ta thực hiện lệnh sau:

SW#show  subsys  class  protocol | include  cmp
cmp                  Protocol      1.000.001

- Đới với thiết thiêt bị không hỗ trợ giao thực CMP thì sẽ không xuất hiện dòng:

cmp                  Protocol      1.000.001

- Kiểm tra xem thiết bị có sử dụng telnet hay không.

SW# show running-config | begin line vty
line vty 0 4
 password ******
 login

- Bời mặc định khi cấu hình vty thì telnet sẽ được bật.
1) Cách khắc phục.
- Khi đã xác định được thiết bị có hỗ trợ CMP ta cần kiểm tra xem thiết bị đó có sử dụng telnet không, nếu có sẽ thực hiện cấu hình chuyển sang SSH như theo hướng dẫn: https://whitehat.vn/threads/telnet-ssh-secure.8189/
- Đối với các thiết bị không hỗ trợ SSH, ta cần giới hạn danh sách các IP được phép sử dụng Telnet cụ thể là chỉ mở cho các IP của quản trị viên.
- Kịp thời kiểm tra Update định kỳ phiên bản IOS mới nhất để khắc phục lỗi bảo mật.