Маршрутизаторы Cisco промышленного класса уязвимы к кибератакам

Cisco обнаружила в своем ПО Cisco IOS и IOS XE более десятка опасных уязвимостей, в том числе уязвимость, затрагивающую маршрутизаторы промышленного класса. Компания также рекомендовала пользователям отключить в IOS функцию трассировки маршрутов L2, для уязвимости в которой уже опубликован эксплоит.

Cisco раскрыла подробности об уязвимостях в рамках планового исправления проблем безопасности в Cisco IOS и IOS XE, проходящего два раза в год (в каждую четвертую среду марта и сентября). Нынешнее обновление включает 12 уведомлений безопасности для 13 отдельных уязвимостей высокой опасности. Проблемы позволяют злоумышленникам получать неавторизованный доступ к устройству, внедрять команды, истощать ресурсы устройства и вызывать отказ в обслуживании.

Ни одна уязвимость не отмечена в бюллетенях как критическая. Тем не менее, обнаруженная в среде приложения IOx для IOS проблема с идентификатором CVE-2019-12648 получила по системе оценивания опасности уязвимостей CVSS 3.0 оценку 9,9 из максимальных 10. Она затрагивает маршрутизаторы Cisco промышленного класса серий 800 и 1000.

Как правило, уязвимости, получившие столь высокую оценку по системе CVSS, считаются критическими. Однако в данном случае CVE-2019-12648 не является таковой, поскольку затрагивает лишь гостевую ОС на виртуальной машине, запущенной на IOS-устройстве, и ни при каких условиях не предоставляет атакующему прав администратора на самой IOS.

Проблема существует из-за некорректной оценки технологией RBAC управления доступом гостевой ОС на IOS. Для эксплуатации уязвимости злоумышленник сначала должен авторизоваться. С ее помощью атакующий с низкими привилегиями может запросить доступ к гостевой ОС, который должен быть разрешен только для администратора. Уязвимость позволяет злоумышленнику получить права суперпользователя на ОС.

Единственный способ обезопасить уязвимое устройство от эксплуатации CVE-2019-12648 – установить обновление. Если по каким-либо причинам это невозможно сделать как можно скорее, Cisco рекомендует отключить гостевую ОС, что позволит «устранить вектор атаки».

Управление доступом на основе ролей (Role Based Access Control, RBAC) – развитие политики избирательного управления доступом, при котором права доступа субъектов системы на объекты группируются с учетом специфики их применения, образуя роли.