NEWSPAPER

      GREINCOR TECHNOLOGIES ®

CVE-2020-27125, CVE-2020-27130, CVE-2020-27131: Revelación de vulnerabilidades de autenticación previa en Cisco Security Manager

Por Satnam Narang ( Tenable )

Después de la publicación del código de prueba de concepto (PoC), Cisco publicó tres advertencias para múltiples vulnerabilidades parcheadas silenciosamente en una actualización reciente. Las organizaciones deben aplicar estos parches de inmediato.

Antecedentes

El 16 de noviembre, Cisco publicó avisos para tres vulnerabilidades en Cisco Security Manager , una herramienta para monitorear y administrar una variedad de dispositivos Cisco, incluidos los dispositivos de seguridad adaptable de Cisco, los enrutadores de servicios integrados de Cisco, los módulos de servicios de firewall, los switches de la serie Catalyst y los dispositivos de sensor de la serie IPS. . Las vulnerabilidades fueron descubiertas y reveladas por el investigador de seguridad Florian Hauser de Code White.

Hauser originalmente tuiteó sobre estas vulnerabilidades el 11 de noviembre , diciendo que había revelado “12 vulnerabilidades” a Cisco que afectan la “interfaz web” de Cisco Security Manager. Señaló que todas las vulnerabilidades que reveló no estaban autenticadas y “casi todas dan directamente RCE (ejecución remota de código)”.

Cinco días después, el 16 de noviembre, Hauser tuiteó que debido a que el Equipo de respuesta a incidentes de seguridad de productos (PSIRT) de Cisco había dejado de responder y debido a que la supuesta versión fija de Cisco Security Manager no mencionaba sus divulgaciones, decidió publicar su prueba. -of-concept (PoC) para las 12 vulnerabilidades.

Se informa que tres avisos cubren al menos 12 vulnerabilidades

A pesar del tweet de Hauser que describe 12 vulnerabilidades, parece que dos de los CVE, CVE-2020-27130 y CVE-2020-27131, abarcan múltiples vulnerabilidades, por lo que no hay una coincidencia directa uno a uno en lo que respecta a los CVE. .

Análisis

CVE-2020-27125 es una vulnerabilidad de credencial estática en Cisco Security Manager. Un atacante remoto no autenticado podría obtener las credenciales estáticas al ver el código fuente de un archivo. La explotación exitosa permitiría a un atacante usar estas credenciales estáticas para “llevar a cabo más ataques”. Esta vulnerabilidad recibió una puntuación CVSSv3 de 7,4 sobre 10,0.

CVE-2020-27130 es una vulnerabilidad de recorrido de ruta crítica en Cisco Security Manager. Un atacante remoto no autenticado podría enviar una solicitud especialmente diseñada que contenga secuencias de caracteres transversales de directorio (por ejemplo, “../../”) a un dispositivo vulnerable. La explotación exitosa permitiría al atacante descargar y cargar archivos arbitrariamente en el dispositivo. Esta vulnerabilidad recibió una puntuación CVSSv3 de 9,1 sobre 10,0.

CVE-2020-27131 aborda múltiples vulnerabilidades en la función de deserialización de Java en Cisco Security Manager. Un atacante remoto no autenticado podría aprovechar esta vulnerabilidad generando objetos Java serializados maliciosos utilizando una herramienta como ysoerial.net y enviándolos como parte de una solicitud especialmente diseñada al dispositivo vulnerable. La explotación exitosa otorgaría al atacante privilegios de ejecución de código arbitrario en el dispositivo como NT AUTHORITY \ SYSTEM. Esta vulnerabilidad recibió una puntuación CVSSv3 de 8,1 sobre 10,0.

La investigación cita una divulgación anterior del equipo de investigación Zero Day de Tenable

Como parte de su lanzamiento de PoC para CVE-2020-27131, Hauser incluyó una referencia a TRA-2017-23 , una divulgación de vulnerabilidad del equipo de investigación de día cero de Tenable de 2017 con respecto a una vulnerabilidad de ejecución remota de código de deserialización en Cisco Security Manager y Cisco Prime LAN. Solución de gestión.

Prueba de concepto

El 16 de noviembre, Hauser tuiteó un enlace a una esencia de GitHub que contiene PoC para las vulnerabilidades que reveló a Cisco. Estas PoC incluyen ejemplos de objetos Java serializados generados con ysoserial.

Solución

Cisco ha publicado parches para CVE-2020-27125 y CVE-2020-27130. Sin embargo, aún no está disponible un parche para CVE-2020-271131. La siguiente tabla proporciona información sobre las versiones afectadas y las correcciones disponibles.

CVEVersiones afectadasVersiones fijasFijar estado
CVE-2020-271254.21 y anteriores4.22 y posteriorDisponible
CVE-2020-271304.21 y anteriores4.22 y posteriorDisponible
CVE-2020-271314.21 y anteriores4.23 y posteriorNo disponible

El 17 de noviembre, Hauser tuiteó que las correcciones fueron “efectivamente implementadas” y que “necesitan más pruebas” con un lanzamiento de Service Pack que se espera dentro de “las próximas semanas”

Actualizaremos esta publicación de blog una vez que Cisco Security Manager 4.23 esté disponible. Cisco no ha proporcionado soluciones alternativas o mitigaciones para ninguna de estas vulnerabilidades y señala que no están al tanto de la explotación en el medio natural de estas vulnerabilidades en el momento en que se publicaron las advertencias. El equipo de respuesta de seguridad recomienda encarecidamente a los clientes que ejecutan Cisco Security Manager que se actualicen a la versión parcheada más reciente lo antes posible.

Identificación de sistemas afectados

Una lista de complementos de Tenable para identificar estas vulnerabilidades aparecerá aquí a medida que se publiquen.

Abrir chat
En qué podemos ayudarle?
Bienvenido a la Zona Greincortech!
¿En qué podemos ayudarle?