Endnu en Cisco Zero-Day, endnu en scramble

Cisco-administratorer havde næsten ikke tid til at trække vejret, før de stod over for endnu en nødsituation i denne måned. Kun dage efter en separat aktivt udnyttet sårbarhed i Ciscos Secure Email Gateway-produkt havde fået teams til at skynde sig med at patche, har virksomheden offentliggjort en ny zero-day, denne gang i sin Identity Services Engine (ISE), og den kommer med den højeste mulige alvorlighedsvurdering, en sårbarhed kan få: en perfekt CVSS-score på 10,0.

En CVSS-score på 10 betyder, at fejlen opfylder alle kriterier, der gør en sårbarhed farlig. Den kan udnyttes eksternt, kræver ingen særlige rettigheder eller brugerinteraktion og kan føre til et fuldstændigt kompromis af det berørte system. I dette tilfælde er fejlen en omgåelse af autentificering, hvilket betyder, at angribere, der udnytter den, potentielt kan springe login-krav helt over og få adgang til systemer, som ISE er meningen skal beskytte.

Hvorfor en omgåelse af autentificering i ISE er en stor sag

Cisco Identity Services Engine er ikke et nicheprodukt. Det er en platform til netværksadgangskontrol, der bruges af virksomheder, universiteter, hospitaler og offentlige myndigheder til at beslutte, hvem og hvad der får lov at forbinde til et netværk. ISE kontrollerer identiteten på enheder og brugere, før de får adgang, håndhæver sikkerhedspolitikker og integrerer ofte med andre sikkerhedsværktøjer på tværs af en organisation.

Når systemet, der er ansvarligt for at verificere identitet, selv kan omgås, spreder konsekvenserne sig udad. En angriber, der besejrer ISE's autentificeringskontroller, kan potentielt bevæge sig lateralet på tværs af et netværk, nå følsomme systemer eller eksfiltrere data, alt imens de fremstår som en legitim, autentificeret bruger. Det er netop derfor, denne fejls perfekte alvorlighedsscore ikke bare er en teknisk kuriositet. Den afspejler en reel og øjeblikkelig risiko for de organisationer, der er afhængige af ISE for at holde uautoriserede brugere ude.

Cisco har bekræftet, at sårbarheden allerede udnyttes i naturen, hvilket øger indsatsen betydeligt. I modsætning til teoretiske fejl, som forskere opdager, før kriminelle gør, bruges denne aktivt mod reelle mål lige nu, hvilket giver forsvarere et snævert og presserende vindue til at anvende rettelser, før flere netværk kompromitteres.

Et mønster værd at holde øje med

Dette er ikke en isoleret hændelse. ISE-fejlen kommer i kølvandet på endnu en aktivt udnyttet Cisco zero-day, der påvirker virksomhedens e-mail-sikkerhedsprodukter, hvilket betyder, at Cisco-kunder har skullet reagere på to alvorlige, udnyttede sårbarheder inden for kort tid. For IT- og sikkerhedsteams, der allerede er presset, betyder zero-days i bredt udbredte virksomhedsprodukter rygg mod ryg nødpatch-cyklusser, risikovurderinger og gennemgange af hændelseshåndtering.

Den gentagne målretning mod Ciscos infrastruktur understreger også en bredere tendens: angribere fokuserer i stigende grad på netværksudstyr og identitetssystemer, der ligger i centrum af virksomhedsmiljøer, snarere end blot individuelle endpoints. En enkelt fejl i et produkt som ISE kan påvirke tusindvis af organisationer samtidigt, hvilket gør disse sårbarheder særligt attraktive for sofistikerede trusselsaktører, der leder efter maksimal effekt med minimal indsats.

Hvad dette betyder for dig

Hvis du arbejder med IT eller sikkerhed i en organisation, der bruger Cisco ISE, er dette ikke en sårbarhed, der kan lægges i patch-backloggen. Givet den perfekte alvorlighedsscore og bekræftet aktive udnyttelse, skal dette behandles som en rettelse på nødstadesniveau snarere end rutinemæssig vedligeholdelse. Gennemgå Ciscos rådgivning for de berørte versioner, anvend patchen så snart den er tilgængelig for din udrulning, og tjek logfiler for tegn på mistænkelig autentificeringsaktivitet, der kan indikere, at fejlen allerede blev udnyttet, før du patchede.

For almindelige brugere og fjernarbejdere er denne historie en påmindelse om, at sikkerheden i de netværk, du forbinder til, hvad enten det er på arbejdet, i skolen eller på offentlig Wi-Fi, afhænger af infrastruktur, du sjældent ser eller tænker over. Selvom du ikke selv kan patche din arbejdsgivers ISE-udrulning, kan du reducere din egen eksponering ved at kryptere din trafik og være forsigtig med de netværk, du stoler på. Hvis du arbejder fra en Mac og vil tilføje et ekstra lag af beskyttelse til din egen forbindelse, gennemgår vores guide til opsætning af VPN på Mac de tilgængelige muligheder for dig.

Handlingsorienterede konklusioner

  • Organisationer, der kører Cisco ISE, bør prioritere at patche denne sårbarhed øjeblikkeligt givet dens perfekte CVSS 10-vurdering og bekræftede aktive udnyttelse.
  • IT-teams bør gennemgå autentificeringslogfiler for anomalier, der kan indikere, at fejlen blev udnyttet før patching.
  • Sikkerhedsteams bør tage højde for, at Cisco nu har offentliggjort flere aktivt udnyttede zero-days i tæt rækkefølge, hvilket berettiger en bredere gennemgang af eksponeret Cisco-infrastruktur.
  • Individuelle brugere kan ikke patche virksomhedssystemer, men styrkelse af personlige sikkerhedspraksisser, herunder brug af en VPN på personlige enheder, tilføjer et lag af beskyttelse uanset hvad der sker på netværksniveau.

Hastigheden af disse offentliggørelser er et klart signal om, at angribere aktivt jagter svagheder i de identitets- og adgangssystemer, som virksomheder er afhængige af. At holde sig opdateret om leverandørers rådgivninger og anvende patches hurtigt forbliver et af de enkleste og mest effektive forsvar, der er tilgængelige.