Belangrijke Cisco-updates: Gerecycleerde SSH-sleutels vereenvoudigden ongeautoriseerde root-toegang

Netwerkapparatuurleverancier Cisco heeft in totaal drie kritieke beveiligingsproblemen in zijn: Beleidssuite evenals in de Optical Network Terminals (ONT)-software voor: Katalysator PON-serie schakelaars gesloten. De mazen in de wet kunnen op afstand en zonder authenticatie worden misbruikt en kunnen onder bepaalde voorwaarden worden misbruikt om in te loggen met rootrechten op de Policy Suite of om in te loggen met standaardreferenties, voor het uitvoeren van ongeautoriseerde opdrachten of voor het wijzigen van configuratiedetails in Catalyst PON-switches.

Andere beschikbare updates sluiten beveiligingsproblemen met een “Hoge” rating in Schakelaars uit de Small Business-serie en in de Cisco e-mailbeveiligingsapparaat (ESA):

Daarnaast zijn er ook een aantal “medium” hiaten in verschillende producten van de fabrikant verholpen. Details hierover zijn de Overzicht van alle huidige beveiligingsadviezen in Cisco’s Security Center verwijzen naar.

Statische SSH-sleutels als kritieke kwetsbaarheid

Die van de Beleidssuite verwijderde kwetsbaarheid CVE-2021-40119 (CVSS score 9,8 uit 10) is gebaseerd op meervoudig gebruik van identieke SSH-sleutels voor meerdere installaties/apparaten. Als een aanvaller erin slaagt de private key op een apparaat te bemachtigen, kan hij zich volgens Cisco’s beschrijving authenticeren als gebruiker met rootrechten op andere systemen. Afhankelijk van de gebruikte versie raadt Cisco aan om updates, een patch via Cisco Smart Net Total Care te installeren of eenvoudig de standaardsleutels op een later tijdstip te wijzigen. De fabrikant legt in het advies uit hoe dit werkt:

Ook kritiek: tekortkomingen in de webinterface

De kritieke mazen in de ONT-software voor Katalysator PON-serie schakelaars consequent invloed hebben op hun webgebaseerde beheerinterface. Volgens het advies zijn ongeautoriseerde logins door aanvallers (CVE-2021-34795 met de hoogst mogelijke CVSS-score 10 op 10) mogelijk als het Telnet-protocol is geactiveerd; het is echter standaard inactief. Debug-inloggegevens die permanent in de software zijn opgeslagen, zijn verantwoordelijk voor de relatief eenvoudige inlogoptie.

De CVSS-score 10 wordt ook toegewezen aan een tweede hiaat in de ONT-software die niets te maken heeft met Telnet: dankzij CVE-2021-40113 kunnen alle opdrachten op afstand worden uitgevoerd als de rootgebruiker met behulp van speciale verzoeken aan de interface. De derde kwetsbaarheid (CVE-2021-40112, 8.6 / “Hoog”) kan door aanvallers worden gebruikt om configuratie-instellingen te wijzigen met behulp van voorbereide HTTPS-verzoeken.

Volgens Cisco zijn de volgende producten potentieel kwetsbaar in combinatie met softwareversie 1.1:

• Katalysator PON-schakelaar CGP-ONT-1P
• Katalysator PON-schakelaar CGP-ONT-4P
• Katalysator PON-schakelaar CGP-ONT-4PV
• Katalysator PON-schakelaar CGP-ONT-4PVC
• Katalysator PON-schakelaar CGP-ONT-4TVCW

ONT-softwareversies vanaf 1.1.1.14 voor CGP-ONT-1P of vanaf 1.1.3.17 voor de andere genoemde schakelaars zijn bedoeld om het gevaar af te wenden. Verdere details vindt u ook hier in het advies:

(ovw)