Další Cisco zero-day, další shon

Správci Cisco sotva měli čas vydechnout, než čelili druhému mimořádnému stavu tento měsíc. Jen několik dní poté, co je kvůli samostatné aktivně zneužívané zranitelnosti v produktu Cisco Secure Email Gateway týmy nuceny urychleně záplatovat, společnost zveřejnila nový zero-day, tentokrát v Identity Services Engine (ISE), a ten přichází s nejvyšším možným hodnocením závažnosti, jaké zranitelnost může dostat: perfektním skóre CVSS 10,0.

Skóre CVSS 10 znamená, že tato chyba splňuje všechny předpoklady, které dělají zranitelnost nebezpečnou. Je zneužitelná na dálku, nevyžaduje žádná zvláštní oprávnění ani interakci uživatele a může vést k úplnému kompromitaci postiženého systému. V tomto případě jde o obejití autentizace, což znamená, že útočníci, kteří ji zneužijí, mohou potenciálně zcela přeskočit požadavky na přihlášení a získat přístup k systémům, které má ISE chránit.

Proč je obejití autentizace v ISE tak závažné

Cisco Identity Services Engine není okrajový produkt. Jde o platformu pro řízení přístupu k síti, kterou používají podniky, univerzity, nemocnice a vládní agentury k rozhodování o tom, kdo a co se může připojit k síti. ISE ověřuje identitu zařízení a uživatelů před udělením přístupu, vynucuje bezpečnostní zásady a často se integruje s dalšími bezpečnostními nástroji v rámci organizace.

Když lze obejít samotný systém odpovědný za ověřování identity, důsledky se šíří dál. Útočník, který překoná autentizační kontroly ISE, by se potenciálně mohl pohybovat laterálně po síti, dostat se k citlivým systémům nebo exfiltrovat data, a to vše při zdání legitimního, ověřeného uživatele. Právě proto není perfektní skóre závažnosti této chyby jen technickou zajímavostí. Odráží reálné a bezprostřední riziko pro organizace, které se na ISE spoléhají, aby udržely neoprávněné uživatele venku.

Cisco potvrdilo, že zranitelnost je již zneužívána v reálném světě, což výrazně zvyšuje sázky. Na rozdíl od teoretických chyb, které výzkumníci objeví dříve než zločinci, je tato právě teď aktivně používána proti skutečným cílům, což obráncům poskytuje úzké a naléhavé okno pro aplikaci oprav, než budou kompromitovány další sítě.

Vzorec, který stojí za pozornost

Nejde o ojedinělý incident. Chyba v ISE přichází vzápětí po dalším aktivně zneužívaném zero-day postihujícím e-mailové bezpečnostní produkty společnosti, což znamená, že zákazníci Cisco museli v krátkém časovém rozpětí reagovat na dvě závažné, zneužívané zranitelnosti. Pro IT a bezpečnostní týmy, které jsou již tak přetížené, znamenají zero-daye v široce nasazených podnikových produktech jdoucí jeden za druhým také cykly nouzového záplatování, hodnocení rizik a přezkumů reakce na incidenty.

Opakované cílení na infrastrukturu Cisco také podtrhuje širší trend: útočníci se stále více zaměřují na síťové vybavení a identity systémy, které stojí v centru podnikových prostředí, nikoli pouze na jednotlivé koncové body. Jediná chyba v produktu, jako je ISE, může současně ovlivnit tisíce organizací, což činí tyto zranitelnosti obzvláště atraktivními pro sofistikované aktéry hrozeb hledající maximální dopad při minimálním úsilí.

Co to znamená pro vás

Pokud pracujete v IT nebo v bezpečnosti v organizaci, která používá Cisco ISE, nejde o zranitelnost, kterou byste měli nechat v zásobníku záplat. Vzhledem k perfektnímu skóre závažnosti a potvrzenému aktivnímu zneužívání k tomu přistupujte jako k opravě na úrovni mimořádného stavu, nikoli jako k rutinní údržbě. Prostudujte si doporučení Cisco pro postižené verze, aplikujte záplatu, jakmile bude pro vaše nasazení dostupná, a zkontrolujte protokoly, zda nevykazují známky podezřelé autentizační aktivity, které by mohly naznačovat, že chyba byla zneužita ještě předtím, než jste záplatovali.

Pro běžné uživatele a pracovníky na dálku je tento příběh připomínkou, že bezpečnost sítí, ke kterým se připojujete, ať už v práci, ve škole nebo na veřejné Wi-Fi, závisí na infrastruktuře, kterou jen zřídka vidíte nebo o ní přemýšlíte. Přestože nemůžete sami záplatovat nasazení ISE svého zaměstnavatele, můžete snížit své vlastní vystavení riziku šifrováním provozu a opatrností ohledně sítí, kterým důvěřujete. Pokud pracujete na Macu a chcete přidat vrstvu ochrany svému vlastnímu připojení, náš průvodce nastavením VPN na Macu prochází dostupné možnosti.

Praktické závěry

  • Organizace provozující Cisco ISE by měly okamžitě prioritizovat záplatování této zranitelnosti vzhledem k jejímu perfektnímu hodnocení CVSS 10 a potvrzenému aktivnímu zneužívání.
  • IT týmy by měly zkontrolovat autentizační protokoly na anomálie, které by mohly naznačovat, že chyba byla zneužita před záplatováním.
  • Bezpečnostní týmy by měly vzít v úvahu, že Cisco nyní zveřejnilo několik aktivně zneužívaných zero-dayů v těsném sledu, což odůvodňuje širší přezkum vystavené infrastruktury Cisco.
  • Jednotliví uživatelé nemohou záplatovat podnikové systémy, ale posílení osobních bezpečnostních praktik, včetně používání VPN na osobních zařízeních, přidává vrstvu ochrany bez ohledu na to, co se děje na úrovni sítě.

Tempo těchto zveřejnění je jasným signálem, že útočníci aktivně hledají slabiny v systémech identit a přístupu, na kterých firmy závisí. Zůstat v obraze ohledně doporučení dodavatelů a rychle aplikovat záplaty zůstává jednou z nejjednodušších a nejúčinnějších dostupných obran.