Cisco har offentliggjort en kritisk sårbarhet i Cisco Catalyst SD-WAN och vi vill uppmuntra samtliga läsare med ansvar för ett sådant nätverk att läsa detta och följa råden nedan omedelbart. Sårbarheten finns i REST-API-komponenten av vManage-mjukvaran. Det innebär att en hotaktör kan utnyttja sårbarheten utan att behöva logga in med en giltig användare, och den kan utnyttjas genom fjärråtkomst.
Denna sårbarhet i SD-WAN berör Cisco Catalyst SD-WAN (fd Viptela), den berör inte Cisco Meraki SD-WAN. Om sårbarheten utnyttjas så kan hotaktören både läsa och skriva information till REST-API:et. Behörigheten vid skrivning är begränsad enligt Cisco. Sårbarheten påverkar bara REST-API:et, inte webb-/CLI-gränssnittet.
Åtgärder kring denna sårbarhet i SD-WAN
Som slutanvändare av SD-WAN-plattformen rekommenderar Conscia att ni tittar på följande:
- Ta reda på om er version av vManage är drabbad
- Verifierar att accesslistorna som styr åtkomst till vManage är rimliga och tillräckligt restriktiva*
- Utvärdera om ni bör uppgradera till en nyare version
För mer information, bl a om vilka versioner som är drabbade, se denna artikel från Cisco. Artikeln beskriver också hur man kan se om några API-anrop har skett, även om detta inte nödvändigtvis betyder anrop som utnyttjat sårbarheten.
Hör av dig direkt till er kundkontakt på Conscia om ni behöver konsulthjälp för att utvärdera, förbereda och uppgradera er SD-WAN miljö, eller något annat av stegen ovan.
*En IP-baserad access som kan nås av många medarbetare är inte tillrådlig.
Vad menar vi med SD-WAN?
Med hjälp av den tekniska utvecklingen inom ”Software-Defined” finns det numera alla möjligheter att på ett intelligent sätt styra även sin WAN-kommunikation. Med hjälp av en separation av det underliggande lagret för WAN-kommunikation från det överliggande lagret ges möjlighet att på ett friare sätt kontrollera vilka aktiva vägar som finns, vilka applikationer som använder vilka vägar och även hantera säkerheten. Läs mer om SD-WAN-nätverk här.
Om författarna
Erik Jans är en senior nätverkskonsult med dryg 20 års erfarenhet och en inriktning mot cybersäkerhet och automation, certifierad inom Devnet. Daniel Bader är en nätverkskonsult med över 10 års erfarenhet. Båda konsulterna har en Cisco Certified Network Professional (CCNP)-certifiering.
