Một số thiết bị mạng do Cisco sản xuất đã được tìm thấy dễ bị tổn thương trước năm lỗ hổng bảo mật mới có thể cho phép tin tặc kiểm soát hoàn toàn chúng và sau đó, đối với các mạng doanh nghiệp mà chúng cung cấp.
Bốn trong số năm lỗi nghiêm trọng là sự cố thực thi mã từ xa ảnh hưởng đến bộ định tuyến, chuyển mạch và camera IP của Cisco, trong khi lỗ hổng thứ năm là sự cố từ chối dịch vụ ảnh hưởng đến điện thoại IP của Cisco.
Được gọi chung là 'CDPwn, 'các lỗ hổng được báo cáo nằm trong các triển khai khác nhau của Giao thức Khám phá của Cisco (CDP) được bật theo mặc định trên hầu như tất cả các thiết bị của Cisco và không thể TẮT.
Cisco Discovery Protocol (CDP) là một giao thức quản trị hoạt động tại Layer 2 của ngăn xếp Giao thức Internet (IP). Giao thức đã được thiết kế để cho phép các thiết bị khám phá thông tin về các thiết bị Cisco được gắn cục bộ khác trong cùng một mạng.
Theo báo cáo mà nhóm nghiên cứu Armis chia sẻ với The Hacker News, việc triển khai CDP cơ bản chứa lỗi tràn bộ đệm và định dạng chuỗi có thể cho phép kẻ tấn công từ xa trên cùng một mạng thực thi mã tùy ý trên các thiết bị dễ bị tổn thương bằng cách gửi các gói CDP độc hại.
Danh sách các lỗ hổng CDPwn của Cisco ảnh hưởng đến hàng chục triệu thiết bị được triển khai rộng rãi trong các mạng doanh nghiệp như sau:
- Tràn ngăn xếp Cisco NX-OS trong TLV yêu cầu nguồn (CVE-2020-3119)
- Lỗ hổng chuỗi định dạng XR của Cisco IOS trong nhiều TLV (CVE-2020-3118)
- Điện thoại IP của Cisco tràn chồng trong PortID TLV (CVE-2020-3111)
- Máy ảnh IP của Cisco Heap tràn trong DeviceID TLV (CVE-2020-3110)
- Sự cạn kiệt tài nguyên của Cisco FXOS, IOS XR và NX-OS trong các địa chỉ TLV (CVE-2020-3120)
Cần lưu ý, vì CDP là lớp Liên kết dữ liệu 2 giao thức không thể vượt qua ranh giới của mạng cục bộ, trước tiên kẻ tấn công cần phải ở trên cùng một mạng để tận dụng các lỗ hổng CDPwn.
Tuy nhiên, sau khi có được chỗ đứng ban đầu trong mạng được nhắm mục tiêu bằng các lỗ hổng riêng biệt, kẻ tấn công có thể khai thác CDPwn chống lại các thiết bị chuyển mạch mạng để phá vỡ phân đoạn mạng và di chuyển ngang qua các mạng công ty sang các hệ thống và dữ liệu nhạy cảm khác.
"Đạt được quyền kiểm soát công tắc là hữu ích theo những cách khác. Ví dụ: công tắc ở vị trí đắc địa để nghe lén lưu lượng mạng đi qua công tắc và thậm chí nó có thể được sử dụng để khởi động các cuộc tấn công trung gian vào lưu lượng của các thiết bị đi qua công tắc, "các nhà nghiên cứu cho biết.
"Kẻ tấn công có thể tìm cách di chuyển ngang qua các phân khúc và có quyền truy cập vào các thiết bị có giá trị như điện thoại IP hoặc máy ảnh. Không giống như các thiết bị chuyển mạch, các thiết bị này giữ dữ liệu nhạy cảm trực tiếp và lý do để chiếm đoạt chúng có thể là mục tiêu của kẻ tấn công, và không chỉ đơn thuần là một cách để thoát ra khỏi phân khúc. "
Ngoài ra, lỗ hổng CDPwn cũng cho phép kẻ tấn công:
- Nghe trộm dữ liệu / cuộc gọi video và nguồn cấp dữ liệu video từ điện thoại IP và máy ảnh, ghi lại các cuộc hội thoại hoặc hình ảnh nhạy cảm.
- Thực hiện dữ liệu nhạy cảm của công ty chảy qua các bộ chuyển mạch và bộ định tuyến của mạng công ty.
- Cam kết các thiết bị bổ sung bằng cách tận dụng các cuộc tấn công trung gian để chặn và thay đổi lưu lượng truy cập trên thiết bị chuyển mạch của công ty.
Bên cạnh việc phát hành một báo cáo kỹ thuật chi tiết về các vấn đề, nhóm nghiên cứu Armis cũng đã chia sẻ các video giải thích và trình diễn các lỗ hổng, như được nhúng ở trên.
Sau khi làm việc chặt chẽ với các nhà nghiên cứu của Armis trong vài tháng qua để phát triển các bản vá bảo mật, hôm nay Cisco đã phát hành bản cập nhật phần mềm cho tất cả các sản phẩm bị ảnh hưởng của mình.
Mặc dù Cisco cũng đã cung cấp một số thông tin giảm thiểu, các quản trị viên bị ảnh hưởng vẫn rất khuyến khích cài đặt các bản cập nhật phần mềm mới nhất để bảo vệ hoàn toàn các mạng có giá trị của họ trước phần mềm độc hại và các mối đe dọa trực tuyến mới nổi.
