Администраторы Cisco едва успели перевести дух, как столкнулись со второй чрезвычайной ситуацией за этот месяц. Всего через несколько дней после того, как отдельная активно эксплуатируемая уязвимость в продукте Cisco Secure Email Gateway заставила команды срочно...

Очередная зеро-дневная уязвимость Cisco, очередная гонка

Администраторы Cisco едва успели перевести дух, как столкнулись со второй чрезвычайной ситуацией за этот месяц. Всего через несколько дней после того, как отдельная активно эксплуатируемая уязвимость в продукте Cisco Secure Email Gateway заставила команды срочно выпускать патчи, компания раскрыла новую зеро-дневную уязвимость — на этот раз в Identity Services Engine (ISE) — и она получила наивысшую возможную оценку серьёзности, которую может получить уязвимость: идеальный балл CVSS 10,0.

Балл CVSS 10 означает, что уязвимость соответствует всем критериям, делающим её опасной. Она эксплуатируется удалённо, не требует специальных привилегий или взаимодействия с пользователем и может привести к полной компрометации уязвимой системы. В данном случае речь идёт об обходе аутентификации, а значит, злоумышленники, эксплуатирующие её, потенциально могут полностью пропустить требования к входу в систему и получить доступ к системам, которые ISE должна защищать.

Почему обход аутентификации в ISE — это серьёзно

Cisco Identity Services Engine — не нишевый продукт. Это платформа контроля доступа к сети, используемая предприятиями, университетами, больницами и государственными учреждениями для определения того, кому и чему разрешено подключаться к сети. ISE проверяет подлинность устройств и пользователей перед предоставлением им доступа, обеспечивает соблюдение политик безопасности и часто интегрируется с другими средствами безопасности в организации.

Когда система, отвечающая за проверку подлинности, сама может быть обойдена, последствия распространяются дальше. Злоумышленник, обходящий механизмы аутентификации ISE, потенциально может перемещаться по сети, достигать конфиденциальных систем или похищать данные, при этом выглядя как легитимный аутентифицированный пользователь. Именно поэтому идеальная оценка серьёзности этой уязвимости — не просто технический курьёз. Она отражает реальный и непосредственный риск для организаций, которые полагаются на ISE в вопросе недопущения несанкционированных пользователей.

Cisco подтвердила, что уязвимость уже эксплуатируется в реальных условиях, что значительно повышает ставки. В отличие от теоретических багов, которые исследователи обнаруживают раньше преступников, этот прямо сейчас активно используется против реальных целей, давая защитникам узкое и срочное окно для применения исправлений, прежде чем будут скомпрометированы новые сети.

Закономерность, заслуживающая внимания

Это не единичный инцидент. Уязвимость в ISE появилась сразу после другой активно эксплуатируемой зеро-дневной уязвимости Cisco, затрагивающей продукты компании для защиты электронной почты, а значит, клиентам Cisco пришлось реагировать на две серьёзные эксплуатируемые уязвимости за короткий промежуток времени. Для ИТ- и security-команд, и без того работающих на пределе, зеро-дни подряд в широко развёрнутых корпоративных продуктах означают циклы экстренного патчинга, оценки рисков и разбора инцидентов один за другим.

Повторяющиеся атаки на инфраструктуру Cisco также подчёркивают более широкую тенденцию: злоумышленники всё чаще фокусируются на сетевом оборудовании и системах идентификации, находящихся в центре корпоративных сред, а не только на отдельных конечных точках. Одна уязвимость в таком продукте, как ISE, может одновременно затронуть тысячи организаций, что делает эти уязвимости особенно привлекательными для изощрённых угроз, ищущих максимальный эффект при минимальных усилиях.

Что это значит для вас

Если вы работаете в ИТ или сфере безопасности в организации, использующей Cisco ISE, это не та уязвимость, которую можно оставить в очереди на патчинг. Учитывая идеальную оценку серьёзности и подтверждённую активную эксплуатацию, отнеситесь к этому как к исправлению уровня чрезвычайной ситуации, а не как к плановому обслуживанию. Ознакомьтесь с рекомендациями Cisco по затронутым версиям, примените патч, как только он станет доступен для вашего развёртывания, и проверьте логи на признаки подозрительной активности аутентификации, которые могут указывать на то, что уязвимость уже была использована до патчинга.

Для обычных пользователей и удалённых сотрудников эта история — напоминание о том, что безопасность сетей, к которым вы подключаетесь, будь то на работе, в школе или в публичном Wi-Fi, зависит от инфраструктуры, которую вы редко видите и о которой редко задумываетесь. Хотя вы не можете сами пропатчить развёртывание ISE вашего работодателя, вы можете снизить собственную уязвимость, шифруя свой трафик и с осторожностью относясь к сетям, которым доверяете. Если вы работаете на Mac и хотите добавить уровень защиты для собственного соединения, наше руководство по настройке VPN на Mac описывает доступные вам варианты.

Практические выводы

• Организациям, использующим Cisco ISE, следует немедленно приоритизировать патчинг этой уязвимости с учётом её идеальной оценки CVSS 10 и подтверждённой активной эксплуатации.
• ИТ-командам следует проверить логи аутентификации на аномалии, которые могут указывать на то, что уязвимость была использована до патчинга.
• Командам безопасности следует учитывать, что Cisco теперь раскрыла несколько активно эксплуатируемых зеро-дневных уязвимостей подряд, что требует более широкого анализа подверженной воздействию инфраструктуры Cisco.
• Отдельные пользователи не могут пропатчить корпоративные системы, но усиление личных практик безопасности, включая использование VPN на личных устройствах, добавляет уровень защиты независимо от того, что происходит на уровне сети.

Темп этих раскрытий — явный сигнал о том, что злоумышленники активно ищут слабые места в системах идентификации и доступа, от которых зависят компании. Отслеживание актуальных рекомендаций вендоров и быстрое применение патчей остаётся одной из самых простых и эффективных доступных защит.

FAQ: Q1: Какой продукт Cisco затронут новой зеро-дневной уязвимостью? A1: Новая зеро-дневная уязвимость затрагивает Cisco Identity Services Engine (ISE) — платформу контроля доступа к сети. Q2: Какую оценку серьёзности получила уязвимость в Cisco ISE? A2: Она получила идеальный балл CVSS 10,0 — наивысшую возможную оценку серьёзности. Q3: Что это за тип уязвимости? A3: Это обход аутентификации, который эксплуатируется удалённо, не требует специальных привилегий или взаимодействия с пользователем и может привести к полной компрометации системы. Q4: Эксплуатируется ли уязвимость в Cisco ISE в реальных условиях? A4: Да, Cisco подтвердила, что уязвимость уже эксплуатируется в реальных условиях против реальных целей. Q5: Почему обход аутентификации в ISE вызывает особую тревогу? A5: ISE проверяет подлинность и контролирует доступ к сети, поэтому её обход может позволить злоумышленникам выглядеть как легитимные аутентифицированные пользователи, перемещаться по сети, достигать конфиденциальных систем или похищать данные. ---END---