Ще один zero-day у Cisco, ще одна паніка

Адміністратори Cisco ледве встигли перевести подих, як цього місяця їм довелося зіткнутися з другою надзвичайною ситуацією. Лише через кілька днів після окремої вразливості в продукті Cisco Secure Email Gateway, яка вже активно використовувалася і змусила команди терміново лагодити системи, компанія розкрила новий zero-day — цього разу в Identity Services Engine (ISE), — і він має найвищий можливий рівень небезпеки, який може отримати вразливість: ідеальний бал CVSS 10.0.

Бал CVSS 10 означає, що ця вада відповідає всім критеріям, які роблять вразливість небезпечною. Її можна експлуатувати віддалено, вона не потребує спеціальних привілеїв чи взаємодії з боку користувача і може призвести до повної компрометації ураженої системи. У цьому випадку вада є обходом автентифікації, що означає, що зловмисники, які її експлуатують, потенційно можуть повністю оминути вимоги входу в систему та отримати доступ до систем, які ISE має захищати.

Чому обхід автентифікації в ISE — це серйозна проблема

Cisco Identity Services Engine — це не нішевий продукт. Це платформа контролю доступу до мережі, яку використовують підприємства, університети, лікарні та державні установи, щоб вирішувати, хто і що може підключатися до мережі. ISE перевіряє ідентичність пристроїв і користувачів, перш ніж надати їм доступ, застосовує політики безпеки і часто інтегрується з іншими інструментами безпеки в організації.

Коли систему, відповідальну за перевірку ідентичності, можна обійти, наслідки поширюються назовні. Зловмисник, який долає засоби контролю автентифікації ISE, потенційно може переміщатися мережею, досягати конфіденційних систем або викрадати дані — і все це, виглядаючи як легітимний автентифікований користувач. Саме тому ідеальний бал небезпеки цієї вади — не просто технічна цікавинка. Він відображає реальний і негайний ризик для організацій, які покладаються на ISE, щоб не допускати несанкціонованих користувачів.

Cisco підтвердила, що вразливість уже використовується в реальних умовах, що значно підвищує ставки. На відміну від теоретичних помилок, які дослідники виявляють раніше за злочинців, ця вже активно застосовується проти реальних цілей просто зараз, даючи захисникам вузьке й термінове вікно для впровадження виправлень, перш ніж буде скомпрометовано ще більше мереж.

Закономірність, за якою варто стежити

Це не ізольований випадок. Вада в ISE з'явилася одразу після ще одного zero-day у Cisco, який активно використовується і стосується продуктів компанії для захисту електронної пошти. Це означає, що клієнти Cisco мусили реагувати на дві серйозні, вже експлуатовані вразливості за короткий проміжок часу. Для IT- та безпекових команд, які й так працюють на межі можливостей, послідовні zero-day у широко розповсюджених корпоративних продуктах означають послідовні цикли екстреного лагодження, оцінки ризиків і перегляду реагування на інциденти.

Повторне націлювання на інфраструктуру Cisco також підкреслює ширшу тенденцію: зловмисники дедалі частіше зосереджуються на мережевому обладнанні та системах ідентифікації, які стоять у центрі корпоративних середовищ, а не лише на окремих кінцевих пристроях. Одна вада в такому продукті, як ISE, може одночасно вплинути на тисячі організацій, що робить ці вразливості особливо привабливими для витончених зловмисників, які шукають максимального впливу за мінімальних зусиль.

Що це означає для вас

Якщо ви працюєте в IT або сфері безпеки в організації, яка використовує Cisco ISE, це не та вразливість, яку можна залишити в черзі на лагодження. З огляду на ідеальний бал небезпеки та підтверджене активне використання, ставтеся до цього як до виправлення рівня надзвичайної ситуації, а не як до рутинного обслуговування. Перегляньте рекомендації Cisco щодо уражених версій, застосуйте патч щойно він стане доступним для вашого розгортання та перевірте журнали на ознаки підозрілої активності автентифікації, які можуть вказувати на те, що ваду вже використали до того, як ви її полагодили.

Для звичайних користувачів і віддалених працівників ця історія — нагадування про те, що безпека мереж, до яких ви підключаєтеся, чи то на роботі, у школі чи в публічному Wi-Fi, залежить від інфраструктури, яку ви рідко бачите чи про яку думаєте. Хоча ви не можете самостійно полагодити розгортання ISE вашого роботодавця, ви можете зменшити власну вразливість, шифруючи свій трафік і обережно ставлячись до мереж, яким довіряєте. Якщо ви працюєте на Mac і хочете додати рівень захисту для власного з'єднання, наш посібник з налаштування VPN на Mac описує доступні вам варіанти.

Практичні висновки

  • Організаціям, які використовують Cisco ISE, слід негайно надати пріоритет лагодженню цієї вразливості з огляду на її ідеальний рейтинг CVSS 10 і підтверджене активне використання.
  • IT-командам слід перевірити журнали автентифікації на аномалії, які можуть вказувати на те, що ваду використали до лагодження.
  • Безпековим командам слід враховувати, що Cisco тепер розкрила кілька активно використовуваних zero-day з коротким інтервалом, що вимагає ширшого перегляду відкритої інфраструктури Cisco.
  • Окремі користувачі не можуть лагодити корпоративні системи, але посилення особистих практик безпеки, зокрема використання VPN на особистих пристроях, додає рівень захисту незалежно від того, що відбувається на рівні мережі.

Темп цих розкриттів — чіткий сигнал про те, що зловмисники активно шукають слабкі місця в системах ідентифікації та доступу, від яких залежить бізнес. Залишатися в курсі рекомендацій постачальників і швидко застосовувати патчі залишається одним із найпростіших і найефективніших доступних засобів захисту.

FAQ: Q1: Який продукт Cisco уражено новим zero-day? A1: Новий zero-day уражає Cisco Identity Services Engine (ISE) — платформу контролю доступу до мережі. Q2: Який бал небезпеки отримала вразливість Cisco ISE? A2: Вона отримала ідеальний бал CVSS 10.0 — найвищий можливий рівень небезпеки. Q3: Якого типу ця вразливість? A3: Це обхід автентифікації, який можна експлуатувати віддалено, який не потребує спеціальних привілеїв чи взаємодії з боку користувача і може призвести до повної компрометації системи. Q4: Чи використовується вада в Cisco ISE в реальних умовах? A4: Так, Cisco підтвердила, що вразливість уже використовується в реальних умовах проти реальних цілей. Q5: Чому обхід автентифікації в ISE особливо тривожний? A5: ISE перевіряє ідентичність і контролює доступ до мережі, тому його обхід може дозволити зловмисникам виглядати як легітимні автентифіковані користувачі, переміщатися мережею, досягати конфіденційних систем або викрадати дані. ---END---