Kritischer Cisco-Fehler in VPN-Routern ermöglicht Fernübernahme

  • Sicherheitsforscher haben davor gewarnt, dass mindestens 8.800 verwundbare Systeme angreifbar sind.

    Eine kritische Sicherheitslücke in einer Untergruppe der VPN-Router von Cisco Systems für kleine Unternehmen könnte es einem entfernten, nicht authentifizierten Angreifer ermöglichen, ein Gerät zu übernehmen – und Forscher sagten, dass es mindestens 8.800 anfällige Systeme gibt, die gefährdet sind.

    Cisco hat die Fehler (CVE-2021-1609) im Rahmen einer Reihe von Patches behoben, die diese Woche veröffentlicht wurden. Insgesamt sind die Korrekturen und betroffenen Produkte wie folgt:

    • Cisco RV340, RV340W, RV345 und RV345P Dual-WAN-Gigabit-VPN-Router: Sicherheitslücken im Web-Management (Advisory)
    • Sicherheitsanfälligkeit in der Remote-Befehlsausführung bei VPN-Routern der Cisco Small Business RV160- und RV260-Serie (Advisory)
    • Cisco Packet Tracer für Windows DLL Injection-Schwachstelle (Hinweis)
    • Cisco Network Services Orchestrator CLI Secure Shell Server Privilege Escalation-Schwachstelle (Hinweis)
    • ConfD CLI Secure Shell Server Privilege Escalation-Schwachstelle (Hinweis)

    Kritischer RCE-Sicherheitsfehler in Gigabit-VPN-Routern

    Der kritische Fehler betrifft die Dual WAN Gigabit VPN-Router des Herstellers. Laut dem Advisory existiert CVE-2021-1609 in der Web-Management-Schnittstelle der Geräte und trägt einen CVSSv3-Schweregrad von 9,8. Die Schwachstelle entsteht durch eine unsachgemäße Validierung von HTTP-Anfragen.

    Laut einer Analyse von Tenable vom Donnerstag könnte ein entfernter, nicht authentifizierter Angreifer die Schwachstelle ausnutzen, indem er eine speziell gestaltete HTTP-Anfrage an ein verwundbares Gerät sendet, was zu einer willkürlichen Code-Ausführung sowie der Möglichkeit führt, das Gerät neu zu laden, was zu einem Denial-of-Service (DoS) führt.

    Laut Cisco ist die Fernverwaltung dieser Geräte standardmäßig deaktiviert, was solche Angriffe vereiteln würde. Die Forscher von Tenable fanden jedoch heraus, dass mehr als 8.800 Geräte öffentlich zugänglich und anfällig für Angriffe sind.

    Ein zweiter Fehler, der dieselben Geräte betrifft, CVE-2021-1610, ist eine hoch eingestufte Schwachstelle zur Einschleusung von Befehlen in dieselbe Webverwaltungsschnittstelle.

    “Während beide Schwachstellen auf eine unsachgemäße Validierung von HTTP-Anfragen zurückzuführen sind und durch das Senden speziell gestalteter HTTP-Anfragen ausgenutzt werden können, kann CVE-2021-1610 nur von einem authentifizierten Angreifer mit Root-Rechten ausgenutzt werden”, so Tenable. “Eine erfolgreiche Ausnutzung würde einem Angreifer die Möglichkeit geben, beliebige Befehle auf dem Betriebssystem des verwundbaren Geräts auszuführen.

    Die Webverwaltungsschnittstelle für die Small Business VPN-Router ist standardmäßig über lokale Netzwerkverbindungen verfügbar und kann nicht deaktiviert werden, so Cisco.

    Obwohl die Schwachstellen bisher noch nicht ausgenutzt wurden, warnt Tenable, dass sich dies wahrscheinlich ändern wird.

    “Im Januar 2019 veröffentlichte Cisco Advisories für zwei verschiedene Schwachstellen in seinen RV320- und RV325-WAN-VPN-Routern”, heißt es in der Analyse. “Wenige Tage nach der Veröffentlichung der Hinweise wurden Proof-of-Concept-Exploit-Skripte für diese Schwachstellen veröffentlicht, woraufhin ein aktives Scannen nach anfälligen Geräten folgte. Aufgrund dieses historischen Präzedenzfalls halten wir es für wichtig, dass Unternehmen diese neuesten Schwachstellen so schnell wie möglich patchen.”

    Wenn ein Patching nicht möglich ist, sollten die Benutzer sicherstellen, dass die Remote-Web-Verwaltung deaktiviert ist, fügte das Unternehmen hinzu.

    Cisco-Sicherheitslücken mit hohem Schweregrad

    Cisco hat auch mehrere schwerwiegende Fehler behoben, deren Schweregrad auf der CVSSv3-Skala zwischen 8,8 und 7,8 liegt.

    Der als CVE-2021-1602 verfolgte Fehler existiert in der webbasierten Verwaltungsschnittstelle der Cisco Small Business RV160, RV160W, RV260, RV260P und RV260W VPN Router – wenn er ausgenutzt wird, könnte er einem nicht authentifizierten, entfernten Angreifer erlauben, beliebige Befehle mit Root-Rechten auf dem zugrunde liegenden Betriebssystem auszuführen.

    Wie bei den Gigabit-VPN-Routern ist die Schwachstelle auf eine unzureichende Validierung der Benutzereingaben zurückzuführen, und ein Angreifer könnte sie ausnutzen, indem er eine manipulierte Anfrage an die webbasierte Verwaltungsschnittstelle sendet. Ein abschwächender Faktor ist laut Cisco jedoch die Tatsache, dass nur Befehle ohne Parameter ausgeführt werden können.

    Eine Schwachstelle in Cisco Packet Tracer für Windows (CVE-2021-1593) könnte es einem authentifizierten, lokalen Angreifer ermöglichen, einen DLL-Injection-Angriff auf einem betroffenen Gerät durchzuführen. Ein Angreifer muss über gültige Anmeldeinformationen auf dem Windows-System verfügen, um erfolgreich zu sein, heißt es in dem Advisory.

    “Diese Schwachstelle ist auf eine fehlerhafte Behandlung von Verzeichnispfaden zur Laufzeit zurückzuführen”, erklärt Cisco. “Ein Angreifer könnte diese Schwachstelle ausnutzen, indem er eine Konfigurationsdatei in einen bestimmten Pfad auf dem System einfügt, was dazu führen kann, dass beim Start der Anwendung eine bösartige DLL-Datei geladen wird. Ein erfolgreicher Angriff könnte es einem Angreifer mit normalen Benutzerrechten ermöglichen, beliebigen Code auf dem betroffenen System mit den Rechten eines anderen Benutzerkontos auszuführen.”

    Die letzte hochgradige Sicherheitslücke wird als CVE-2021-1572 geführt und betrifft sowohl den Cisco Network Services Orchestrator (NSO) als auch die ConfD-Optionen für den CLI Secure Shell (SSH) Server. Es handelt sich um einen Fehler bei der Ausweitung von Privilegien, der es einem authentifizierten, lokalen Angreifer ermöglichen könnte, beliebige Befehle auf der Ebene des Kontos auszuführen, unter dem der Dienst ausgeführt wird, was in der Regel root ist.

    Um die Sicherheitslücke auszunutzen, muss ein Angreifer über ein gültiges Konto auf einem betroffenen Gerät verfügen.

    “Die Schwachstelle besteht, weil die betroffene Software den SFTP-Benutzerdienst fälschlicherweise auf der Berechtigungsebene des Kontos ausführt, das bei der Aktivierung des integrierten SSH-Servers für die Befehlszeilenschnittstelle (CLI) verwendet wurde”, so Cisco. “Ein Angreifer mit niedrigen Berechtigungen kann diese Schwachstelle ausnutzen, indem er sich bei einem betroffenen Gerät authentifiziert und eine Reihe von Befehlen an der SFTP-Schnittstelle ausführt.”

    Jeder Benutzer, der sich beim integrierten SSH-Server authentifizieren kann, könnte den Fehler ausnutzen, warnte der Hersteller.

    Da Cisco-Fehler bei Cyberangreifern sehr beliebt sind, sollten Benutzer auf die neuesten Versionen der betroffenen Produkte aktualisieren (Patches sind über die Links oben verfügbar).

    Machen Sie sich Sorgen, woher der nächste Angriff kommen könnte? Wir halten Ihnen den Rücken frei. Registrieren Sie sich jetzt für unser kommendes Live-Webinar “How to Think Like a Threat Actor” in Zusammenarbeit mit Uptycs. Finden Sie heraus, wo genau Angreifer Sie ins Visier nehmen und wie Sie zuerst dorthin gelangen können. Seien Sie dabei, wenn Moderatorin Becky Bracken und die Uptycs-Forscher Amit Malik und Ashwin Vamshi am 17. August um 11 Uhr EST an dieser LIVE-Diskussion teilnehmen.

    Einige Teile dieses Artikels stammen aus:
    threatpost.com