Kolejny zero-day Cisco, kolejna panika

Administratorzy Cisco ledwo zdążyli złapać oddech, zanim stanęli w obliczu drugiego w tym miesiącu stanu wyjątkowego. Zaledwie kilka dni po tym, jak osobna, aktywnie wykorzystywana luka w produkcie Cisco Secure Email Gateway zmusiła zespoły do pośpiesznego łatania, firma ujawniła nowy zero-day, tym razem w swoim Identity Services Engine (ISE), który otrzymał najwyższą możliwą ocenę ważności, jaką może otrzymać luka: idealny wynik CVSS 10,0.

Wynik CVSS 10 oznacza, że luka spełnia wszystkie kryteria czyniące podatność niebezpieczną. Można ją wykorzystać zdalnie, nie wymaga specjalnych uprawnień ani interakcji użytkownika i może doprowadzić do całkowitego przejęcia dotkniętego systemu. W tym przypadku luka polega na obejściu uwierzytelniania, co oznacza, że atakujący, którzy ją wykorzystają, mogą potencjalnie całkowicie pominąć wymogi logowania i uzyskać dostęp do systemów, które ISE ma chronić.

Dlaczego obejście uwierzytelniania w ISE to poważny problem

Cisco Identity Services Engine to nie niszowy produkt. To platforma kontroli dostępu do sieci wykorzystywana przez przedsiębiorstwa, uniwersytety, szpitale i agencje rządowe do decydowania, kto i co może połączyć się z siecią. ISE sprawdza tożsamość urządzeń i użytkowników przed przyznaniem im dostępu, egzekwuje polityki bezpieczeństwa i często integruje się z innymi narzędziami bezpieczeństwa w organizacji.

Gdy system odpowiedzialny za weryfikację tożsamości sam można obejść, konsekwencje rozprzestrzeniają się na zewnątrz. Atakujący, który pokona mechanizmy uwierzytelniania ISE, mógłby potencjalnie przemieszczać się lateralnie po sieci, dotrzeć do wrażliwych systemów lub wykraść dane, wszystko to, wyglądając jak legalny, uwierzytelniony użytkownik. Właśnie dlatego idealny wynik ważności tej luki to nie tylko techniczna ciekawostka. Odzwierciedla on realne i natychmiastowe ryzyko dla organizacji, które polegają na ISE w powstrzymywaniu nieautoryzowanych użytkowników.

Cisco potwierdziło, że luka jest już wykorzystywana w środowisku rzeczywistym, co znacznie podnosi stawkę. W przeciwieństwie do teoretycznych błędów, które badacze odkrywają przed przestępcami, ta luka jest aktywnie wykorzystywana przeciwko realnym celom właśnie teraz, dając obrońcom wąskie i pilne okno na zastosowanie poprawek, zanim więcej sieci zostanie skompromitowanych.

Wzorzec, który warto obserwować

To nie jest odosobniony incydent. Luka w ISE pojawia się tuż po innym aktywnie wykorzystywanym zero-day Cisco dotykającym produktów bezpieczeństwa poczty e-mail firmy, co oznacza, że klienci Cisco musieli zareagować na dwie poważne, wykorzystywane luki w krótkim odstępie czasu. Dla zespołów IT i bezpieczeństwa, już i tak przeciążonych, następujące po sobie zero-day w szeroko wdrożonych produktach korporacyjnych oznaczają następujące po sobie cykle awaryjnego łatania, oceny ryzyka i przeglądów reagowania na incydenty.

Powtarzające się ataki na infrastrukturę Cisco podkreślają również szerszy trend: atakujący coraz częściej koncentrują się na sprzęcie sieciowym i systemach tożsamości, które znajdują się w centrum środowisk korporacyjnych, a nie tylko na pojedynczych punktach końcowych. Pojedyncza luka w produkcie takim jak ISE może dotyczyć tysięcy organizacji jednocześnie, co czyni te podatności szczególnie atrakcyjnymi dla zaawansowanych aktorów zagrożeń szukających maksymalnego wpływu przy minimalnym wysiłku.

Co to oznacza dla Ciebie

Jeśli pracujesz w IT lub bezpieczeństwie w organizacji, która używa Cisco ISE, to nie jest luka, którą można zostawić w kolejce do załatania. Biorąc pod uwagę idealny wynik ważności i potwierdzone aktywne wykorzystanie, potraktuj to jako poprawkę na poziomie awaryjnym, a nie rutynową konserwację. Zapoznaj się z biuletynem Cisco dotyczącym dotkniętych wersji, zastosuj poprawkę tak szybko, jak będzie dostępna dla Twojego wdrożenia, i sprawdź logi pod kątem oznak podejrzanej aktywności uwierzytelniania, która mogłaby wskazywać, że luka została już wykorzystana przed załataniem.

Dla codziennych użytkowników i pracowników zdalnych ta historia jest przypomnieniem, że bezpieczeństwo sieci, z którymi się łączysz, czy to w pracy, szkole, czy w publicznym Wi-Fi, zależy od infrastruktury, którą rzadko widzisz lub o której myślisz. Chociaż nie możesz samodzielnie załatać wdrożenia ISE swojego pracodawcy, możesz zmniejszyć własną ekspozycję, szyfrując swój ruch i zachowując ostrożność wobec sieci, którym ufasz. Jeśli pracujesz na Macu i chcesz dodać warstwę ochrony do własnego połączenia, nasz przewodnik po konfiguracji VPN na Macu omawia dostępne opcje.

Praktyczne wnioski

  • Organizacje korzystające z Cisco ISE powinny priorytetowo załatać tę lukę natychmiast, biorąc pod uwagę jej idealny wynik CVSS 10 i potwierdzone aktywne wykorzystanie.
  • Zespoły IT powinny przejrzeć logi uwierzytelniania pod kątem anomalii, które mogłyby wskazywać, że luka została wykorzystana przed załataniem.
  • Zespoły bezpieczeństwa powinny wziąć pod uwagę, że Cisco ujawniło obecnie wiele aktywnie wykorzystywanych zero-day w krótkim odstępie czasu, co uzasadnia szerszy przegląd eksponowanej infrastruktury Cisco.
  • Indywidualni użytkownicy nie mogą załatać systemów korporacyjnych, ale wzmocnienie osobistych praktyk bezpieczeństwa, w tym korzystanie z VPN na urządzeniach osobistych, dodaje warstwę ochrony niezależnie od tego, co dzieje się na poziomie sieci.

Tempo tych ujawnień jest wyraźnym sygnałem, że atakujący aktywnie polują na słabości w systemach tożsamości i dostępu, od których zależą firmy. Pozostawanie na bieżąco z biuletynami dostawców i szybkie stosowanie poprawek pozostaje jedną z najprostszych i najskuteczniejszych dostępnych obron.