อีกหนึ่ง Zero-Day ของ Cisco อีกหนึ่งความเร่งด่วน

ผู้ดูแลระบบ Cisco แทบไม่มีเวลาได้หายใจก่อนเผชิญเหตุฉุกเฉินครั้งที่สองในเดือนนี้ เพียงไม่กี่วันหลังจากช่องโหว่ที่ถูกใช้โจมตีจริงในผลิตภัณฑ์ Secure Email Gateway ของ Cisco ทำให้ทีมงานต้องเร่งแพตช์ บริษัทได้เปิดเผยช่องโหว่ Zero-Day ใหม่ ในครั้งนี้อยู่ใน Identity Services Engine (ISE) และมาพร้อมคะแนนความรุนแรงสูงสุดเท่าที่ช่องโหว่จะได้รับ นั่นคือคะแนน CVSS 10.0 เต็ม

คะแนน CVSS 10 หมายความว่าช่องโหว่นี้เข้าข่ายทุกข้อที่ทำให้ช่องโหว่เป็นอันตราย มันสามารถถูกโจมตีจากระยะไกลได้ ไม่ต้องใช้สิทธิ์พิเศษหรือการโต้ตอบจากผู้ใช้ และสามารถนำไปสู่การ compromise ระบบที่ได้รับผลกระทบทั้งหมดได้ ในกรณีนี้ ช่องโหว่เป็นประเภท authentication bypass หมายความว่าผู้โจมตีที่ใช้ประโยชน์จากมันอาจข้ามขั้นตอนการล็อกอินทั้งหมดและเข้าถึงระบบที่ ISE ควรจะปกป้องได้

ทำไม authentication bypass ใน ISE จึงเป็นเรื่องใหญ่

Cisco Identity Services Engine ไม่ใช่ผลิตภัณฑ์เฉพาะกลุ่ม มันเป็นแพลตฟอร์มควบคุมการเข้าถึงเครือข่ายที่องค์กร มหาวิทยาลัย โรงพยาบาล และหน่วยงานรัฐบาลใช้เพื่อตัดสินว่าใครและอุปกรณ์ใดสามารถเชื่อมต่อกับเครือข่ายได้ ISE ตรวจสอบตัวตนของอุปกรณ์และผู้ใช้ก่อนอนุญาตให้เข้าถึง บังคับใช้นโยบายความปลอดภัย และมักผสานรวมกับเครื่องมือความปลอดภัยอื่นๆ ทั่วทั้งองค์กร

เมื่อระบบที่รับผิดชอบการยืนยันตัวตนนั้นเองสามารถถูกข้ามได้ ผลที่ตามมาก็แผ่กระจายออกไป ผู้โจมตีที่เอาชนะการควบคุมการยืนยันตัวตนของ ISE ได้อาจเคลื่อนที่ด้านข้างภายในเครือข่าย เข้าถึงระบบที่ละเอียดอ่อน หรือขโมยข้อมูล ทั้งหมดนี้ขณะที่ดูเหมือนเป็นผู้ใช้ที่ผ่านการยืนยันตัวตนอย่างถูกต้อง นั่นคือเหตุผลที่คะแนนความรุนแรงเต็มของช่องโหว่นี้ไม่ใช่แค่เรื่องน่ารู้ทางเทคนิค มันสะท้อนถึงความเสี่ยงจริงและเร่งด่วนต่อองค์กรที่พึ่งพา ISE ในการกันผู้ใช้ที่ไม่ได้รับอนุญาตออกไป

Cisco ยืนยันว่าช่องโหว่นี้ถูกใช้โจมตีจริงในวงกว้างแล้ว ซึ่งเพิ่มความรุนแรงขึ้นอย่างมาก ต่างจากบั๊กเชิงทฤษฎีที่นักวิจัยค้นพบก่อนอาชญากร ในกรณีนี้มันกำลังถูกใช้โจมตีเป้าหมายจริงอยู่ในขณะนี้ ทำให้ผู้ป้องกันมีหน้าต่างเวลาที่แคบและเร่งด่วนในการแก้ไขก่อนที่เครือข่ายอื่นๆ จะถูกเจาะ

รูปแบบที่น่าจับตามอง

นี่ไม่ใช่เหตุการณ์โดดเดี่ยว ช่องโหว่ ISE มาหลังจาก Zero-Day ของ Cisco อีกตัวที่ถูกใช้โจมตีจริงซึ่งส่งผลกระทบต่อผลิตภัณฑ์ความปลอดภัยอีเมลของบริษัท หมายความว่าลูกค้า Cisco ต้องรับมือกับช่องโหว่ร้ายแรงที่ถูกใช้โจมตีจริงสองรายการในช่วงเวลาสั้นๆ สำหรับทีม IT และความปลอดภัยที่ตึงมืออยู่แล้ว Zero-Day ติดต่อกันในผลิตภัณฑ์องค์กรที่ใช้งานกันแพร่หลายหมายถึงรอบการแพตช์ฉุกเฉิน การประเมินความเสี่ยง และการทบทวนการตอบสนองเหตุการณ์ที่ต่อเนื่องกัน

การตกเป็นเป้าซ้ำๆ ของโครงสร้างพื้นฐาน Cisco ยังเน้นย้ำแนวโน้มที่กว้างขึ้น: ผู้โจมตีมุ่งเน้นไปที่อุปกรณ์เครือข่ายและระบบ identity ที่อยู่ใจกลางสภาพแวดล้อมองค์กรมากขึ้น ไม่ใช่แค่ endpoint แต่ละเครื่อง ช่องโหว่เดียวในผลิตภัณฑ์อย่าง ISE สามารถส่งผลกระทบต่อองค์กรหลายพันแห่งพร้อมกัน ทำให้ช่องโหว่เหล่านี้เป็นที่สนใจ特にของ threat actor ที่ซับซ้อนซึ่งต้องการผลกระทบสูงสุดด้วยความพยายามน้อยที่สุด

สิ่งนี้หมายความว่าอย่างไรสำหรับคุณ

หากคุณทำงานด้าน IT หรือความปลอดภัยในองค์กรที่ใช้ Cisco ISE นี่ไม่ใช่ช่องโหว่ที่จะปล่อยไว้ในคิวแพตช์ เมื่อพิจารณาจากคะแนนความรุนแรงเต็มและการถูกใช้โจมตีจริงที่ยืนยันแล้ว ให้ถือว่านี่เป็นการแก้ไขระดับฉุกเฉินไม่ใช่งานบำรุงรักษาตามปกติ ตรวจสอบคำแนะนำของ Cisco สำหรับเวอร์ชันที่ได้รับผลกระทบ แพตช์ทันทีที่พร้อมสำหรับการติดตั้งของคุณ และตรวจสอบ log หาสัญญาณของกิจกรรมการยืนยันตัวตนที่น่าสงสัยซึ่งอาจบ่งชี้ว่าช่องโหว่ถูกใช้ไปแล้วก่อนที่คุณจะแพตช์

สำหรับผู้ใช้ทั่วไปและพนักงานที่ทำงานระยะไกล เรื่องนี้เป็นเครื่องเตือนใจว่าความปลอดภัยของเครือข่ายที่คุณเชื่อมต่อ ไม่ว่าจะที่ทำงาน โรงเรียน หรือ Wi-Fi สาธารณะ ขึ้นอยู่กับโครงสร้างพื้นฐานที่คุณแทบไม่เคยเห็นหรือคิดถึง แม้ว่าคุณจะแพตช์ระบบ ISE ของนายจ้างเองไม่ได้ แต่คุณสามารถลดความเสี่ยงของตัวเองได้ด้วยการเข้ารหัสทราฟฟิกและระมัดระวังเกี่ยวกับเครือข่ายที่คุณเชื่อถือ หากคุณทำงานบน Mac และต้องการเพิ่มชั้นการป้องกันให้การเชื่อมต่อของคุณ คู่มือการตั้งค่า VPN บน Mac ของเราอธิบายตัวเลือกที่มีให้คุณ

สิ่งที่ควรปฏิบัติ

  • องค์กรที่ใช้งาน Cisco ISE ควรจัดลำดับความสำคัญในการแพตช์ช่องโหว่นี้ทันที เนื่องจากคะแนน CVSS 10 เต็มและการถูกใช้โจมตีจริงที่ยืนยันแล้ว
  • ทีม IT ควรตรวจสอบ log การยืนยันตัวตนหาความผิดปกติที่อาจบ่งชี้ว่าช่องโหว่ถูกใช้ก่อนการแพตช์
  • ทีมความปลอดภัยควรคำนึงว่า Cisco ได้เปิดเผย Zero-Day ที่ถูกใช้โจมตีจริงหลายรายการติดต่อกัน ซึ่ง warrants การทบทวนโครงสร้างพื้นฐาน Cisco ที่เปิดเผยในวงกว้างขึ้น
  • ผู้ใช้แต่ละคนแพตช์ระบบองค์กรไม่ได้ แต่การเสริมสร้างแนวปฏิบัติด้านความปลอดภัยส่วนบุคคล รวมถึงการใช้ VPN บนอุปกรณ์ส่วนตัว ช่วยเพิ่มชั้นการป้องกันไม่ว่าเกิดอะไรขึ้นในระดับเครือข่าย

จังหวะของการเปิดเผยเหล่านี้เป็นสัญญาณชัดเจนว่าผู้โจมตีกำลังล่าหาจุดอ่อนในระบบ identity และการเข้าถึงที่ธุรกิจพึ่งพาอย่างจริงจัง การติดตามคำแนะนำของผู้ขายอย่างทันท่วงทีและการแพตช์อย่างรวดเร็วยังคงเป็นหนึ่งในการป้องกันที่ง่ายที่สุดและมีประสิทธิภาพที่สุดที่มีอยู่