Cisco har publisert et varsel om en kritisk sårbarhet som berører deres IOS XE operativsystem. Denne har en CVSS score på 10, som er den høyeste scoren og er av kategori kritisk.
Uvedkommende kan utnytte en sårbarhet i web-grensesnittet som lar dem opprette en ny bruker med administrator-rettigheter på den berørte enheten. Denne kontoen kan så benyttes for å logge på og gjøre konfigurasjonsendringer.
Sårbarheten er knyttet til HTTP/HTTPS serveren. Du kan sjekke om dette er påslått ved å kjøre følgende kommando:
«show running-config | include ip http server|secure|active»
Dersom du ser følgende output
«ip http server
ip http secure-server»
Så er enheten sårbar.
Risiko kan reduseres ved:
Slå av HTTP/HTTPS management frem til en fiks er publisert
Begrense hvilke nettverk som har tilgang til management-grensesnittet
For de fleste installasjonene er management på nettverksinfrastruktur normalt begrenset til et fåtall IP adresser, og vi tror de fleste av våre kunder har god beskyttelse. Men vi anbefaler alle kunder å ta en ekstra sjekk, for å være sikker.
I de tilfeller der man kan leve uten HTTP/HTTPS frem til fiksen er tilgjengelig så anbefaler vi at det HTTP/HTTPS slås av ved å kjøre kommandoene:
«no ip http server»
«no ip http secure-server»
De av våre kunder som kjører en lokal gjesteportal hostet lokalt på en IOS-XE basert WLC (LWA – Local Web Auth) bør ta kontakt med oss så snart som mulig, dersom vi ikke har tatt kontakt allerede. Gjesteportalen bruker HTTP/HTTPS serveren på WLC-en, og det vil medføre brudd i tjenesten dersom disse disables.
Dersom man benytter en gjesteportal-løsning som er hostet sentralt med IOS-XE-baserte switcher og WLC-er (CWA – Central Web Auth), må man påse at ip http server -kommandoen er kombinert sammen med ip http active-session-modules none for å sikre at at gjesteportal-løsningen skal fortsette å fungere.
Lenke til Cisco sin publisering av sårbarheten:
https://sec.cloudapps.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-iosxe-webui-privesc-j22SaA4z
Conscias Principal Threat Intelligence Engineer, David Kasabji, har også skrevet om dette.
Har du spørsmål?