Lỗ hổng nghiêm trọng khiến hàng ngàn switch Cisco có thể bị hacker tấn công

Các nhà nghiên cứu báo mật của Embedi đã tiết lộ một lỗ hổng quan trọng trong Cisco IOS Software và Cisco IOS XE Software có thể cho phép kẻ tấn công remote để thực thi mã tùy ý, kiểm soát các thiết bị mạng và chặn lưu lượng truy cập.

Lỗ hổng (CVE-2018-0171) được xác định là do việc xác thực không hợp lệ dữ liệu gói tin trong Smart Install Client, một cấu hình plug-and-play và tính năng image-management giúp các quản trị viên triển khai các thiết bị chuyển mạch mạng (khách hàng) một cách dễ dàng.

Embedi đã công bô chi tiết kỹ thuật và PoC code sau khi Cisco đưa ra bản cập nhật để khắc phục, dựa theo Common Vulnerability Scoring System (CVSS) thì lỗ hổng được đánh giá là rất nguy hiểm với thang điểm 9.8/10.

Các nhà nghiên cứu đã tìm thấy tổng cộng 8,5 triệu thiết bị với port mở có thể bị tấn công trên internet.

Để khai thác lỗ hổng này, kẻ tấn công cần gửi một thông báo Smart Install đã được tạo ra tới thiết bị trên cổng TCP 4786 được mở theo măc định.

Lỗ hổng cũng có thể dẫn đến tình trạng từ chối dịch vụ (watchdog crash) bằng cách kích hoạt vòng lặp vô hạn trên các thiết bị bị ảnh hưởng.

Các nhà nghiên cứu đã demo lỗ hổng tại một hội thảo ở Hồng Kông sau khi báo nó cho Cisco vào tháng 5 năm 2017.

Video demo

Trong video demo đầu tiên, các nhà nghiên cứu đã nhắm mục tiêu vào switch Cisco Catalyst 2960 để reset/thay đổi mật khẩu và nhập vào chế đệ EXEC đặc quyền:

Ở lần demo thứ hai, các nhà nghiên cứu khai thác lỗ hổng này để ngăn chặn thành công lưu lượng truy cập giữa các thiết bị khác kết nối với switch có lỗ hổng và Internet.

Phần cứng và phần mềm bị ảnh hưởng

Lỗ hổng đã được thử nghiệp trên Catalyst 4500 Supervisor Engines, Cisco Catalyst 3850 Series Switches và Cisco Catalyst 2960 Series Switches cũng như tất cả các thiết bị có loại Smart Install Client có khả năng bị khai thác, bao gồm:

• Catalyst 4500 Supervisor Engines
• Catalyst 3850 Series
• Catalyst 3750 Series
• Catalyst 3650 Series
• Catalyst 3560 Series
• Catalyst 2960 Series
• Catalyst 2975 Series
• IE 2000
• IE 3000
• IE 3010
• IE 4000
• IE 4010
• IE 5000
• SM-ES2 SKUs
• SM-ES3 SKUs
• NME-16ES-1G-P
• SM-X-ES3 SKUs

Cisco đã fix lỗ hổng trong tất cả các sản phẩm bị ảnh hưởng của nó vào ngày 28 tháng 3 năm 2018, các quản trị viên cần update các bản cập nhật để giải quyết vấn đề càng sớm càng tốt.

(Nguồn: Thehacknews)