Cisco ha rilasciato aggiornamenti di sicurezza per affrontare le falle di sicurezza critiche che consentono agli aggressori non autenticati di accedere utilizzando credenziali hardcoded o chiavi SSH predefinite per assumere il controllo dei dispositivi senza patch.
Oggi CISA (The Cybersecurity and Infrastructure Security Agency) ha anche incoraggiato gli utenti e gli amministratori a rivedere gli avvisi di Cisco e ad applicare tutti gli aggiornamenti necessari per bloccare i tentativi di prendere il controllo dei sistemi interessati.
Credenziali hardcoded dello switch Catalyst PON
Il primo dei due difetti corretti mercoledì (rilevato come CVE-2021-34795 ) ha un punteggio CVSS di 10/10 ed è stato trovato nei Cisco Catalyst Passive Optical Network (PON) serie switch Optical Network Terminal (ONT).
“Una vulnerabilità nel servizio Telnet degli switch Cisco Catalyst PON serie ONT potrebbe consentire a un utente malintenzionato e remoto non autenticato di accedere al dispositivo interessato utilizzando un account di debug con una password statica predefinita”, spiega la società in un avviso pubblicato ieri.
Fortunatamente, questa vulnerabilità può essere sfruttata solo stabilendo una sessione Telnet su dispositivi vulnerabili e accedendo con le credenziali hard-coded.
Poiché Telnet non è abilitato per impostazione predefinita sui dispositivi interessati, ciò limita drasticamente il numero di obiettivi che gli attori delle minacce potrebbero attaccare.
L’elenco dei dispositivi interessati include gli switch Catalyst PON: CGP-ONT-1P, CGP-ONT-4P, CGP-ONT-4PV, CGP-ONT-4PVC e CGP-ONT-4TVCW.
Cisco ha confermato che CVE-2021-34795 non è impattante sullo switch Catalyst PON CGP-OLT-8T e sullo switch Catalyst PON CGP-OLT-16T.
Chiavi SSH predefinite in Cisco Policy Suite
La seconda falla di sicurezza critica patchata ieri è tracciata come CVE-2021-40119 ed è causata dal riutilizzo di chiavi SSH statiche nelle installazioni di Cisco Policy Suite.
“Una vulnerabilità nel meccanismo di autenticazione SSH basato su chiave di Cisco Policy Suite potrebbe consentire a un utente malintenzionato e remoto non autenticato di accedere a un sistema interessato come utente root”, spiega Cisco .
“Un utente malintenzionato potrebbe sfruttare questa vulnerabilità estraendo una chiave da un sistema sotto il suo controllo”.
Le versioni 21.2.0 e successive del software Cisco Policy Suite creeranno automaticamente nuove chiavi SSH durante il processo di installazione ma non durante gli aggiornamenti.
Per generare nuove chiavi SSH e propagarle a tutte le macchine, è possibile utilizzare i passaggi descritti nella sezione Fixed Releases di Cisco security advisory.
Il Product Security Incident Response Team (PSIRT) di Cisco ha affermato che non esiste un codice di exploit pubblico proof-of-concept disponibile online per queste due vulnerabilità e ha aggiunto che non è a conoscenza di alcuno sfruttamento in corso.