Cisco heeft laten weten een Tweede Zeroday Exploit te hebben aangetroffen in haar Cisco IOS XE software. Door deze kwetsbaarheid te combineren met de eerder ontdekte bug, is het mogelijk om routers en switches volledig over te nemen. Het technologiebedrijf heeft een beveiligingspatch ontwikkeld, die sinds zondag beschikbaar is.

Dat schrijft Cisco in een Security Advisory.

Nieuwe exploit maakt verwerven van rootprivileges mogelijk

Vorige week waarschuwde Cisco voor een ernstige zeroday exploit in Cisco IOS XE software. Door deze kwetsbaarheid, die de naam CVE-2023-20198 heeft gekregen, was het voor hackers mogelijk om op afstand een admin-account aan te maken waarmee ze zichzelf het hoogste toegangsniveau konden toekennen. Zodoende was het mogelijk om de controle over te nemen van een Cisco-router of -Switch en toegang te krijgen tot vertrouwelijke gegevens.

In de meest recente Security Advisory stelt Cisco dit beeld bij. Het techbedrijf meldt dat het door deze kwetsbaarheid enkel mogelijk is om een account met wachtwoord aan te maken voor een lokale gebruiker. De kwaadwillende heeft hierdoor normale in plaats van verhoogde toegangsrechten. Routers en switches volledig overnemen is hierdoor dus niet mogelijk. Daarvoor moet je de eerste kwetsbaarheid combineren met de tweede zeroday exploit, ook wel CVE-2023-20273 genoemd. Die biedt hackers de mogelijkheid om rootprivileges te verwerven en vervolgens de controle over Cisco-apparatuur over te nemen.

Vanwege de impact op de bedrijfsvoering, kreeg de eerste kwetsbaarheid een CVSS-score van 10.0. De tweede exploit is minder ernstig en heeft zodoende een CVSS-score van 7.2 gekregen. ‘CVSS’ staat voor Common Vulnerability Scoring System en geeft de ernst van een exploit aan. Hoe hoger dit getal, des te meer risico bedrijven lopen.

Cisco rolt beveiligingsupdate uit

Cisco stelt vast dat kwaadwillenden misbruik hebben gemaakt van de voorheen onbekende kwetsbaarheden. Om hoeveel man het gaat kan of wil het bedrijf niet zeggen. Non-profitbeveiligingsorganisatie Shadowserver meldde vorige week woensdag op X dat 32.8000 Cisco-apparaten gecompromitteerd waren. In een update zegt Shadowserver dat ‘slechts’ 19.000 routers en switches besmet zijn met hexadecimale strings.

Cisco zegt een patch te hebben ontwikkeld die de zeroday exploits verhelpt. Deze is sinds zondag te downloaden in het Cisco Software Download Center. Het technologiebedrijf raadt klanten aan om dat zo snel mogelijk te doen. Als dat niet lukt of om wat voor reden dan ook niet mogelijk is, dan adviseert Cisco gebruikers om de HTTP Server- of HTTPS Server-functies uit te schakelen.

Tot slot is het volgens Cisco verstandig om betrokken apparatuur opnieuw op te starten. Een webshell die mogelijk is aangebracht, is niet persistent. Een webshell is een script dat aanvallers op servers plaatsen om toegang te behouden en op afstand code en commando’s uit te voeren. Cisco heeft een blog gepubliceerd met daarop instructies om eventuele besmetting vast te stellen.