تسقط Cisco تنبيهًا بالثغرات الكبيرة لشبكة VPN الأجهزة [محدث]

تكبير القوة الجوية

في 29 كانون الثاني (يناير) ، أصدرت Cisco تنبيهاً أمنياً عاجلاً للغاية العملاء الذين يستخدمون أجهزة أمان الشبكة والبرامج التي تدعمها اتصالات شبكة خاصة افتراضية لشبكات الشركات. جدران الحماية والأجهزة الأمنية وغيرها من الأجهزة التي تم تكوينها بها يكون برنامج VPN بدون عميل WebVPN عرضةً للاعتماد على الويب هجوم الشبكة الذي يمكن أن يتجاوز أمن الأجهزة ، والسماح ل المهاجم لتشغيل الأوامر على الأجهزة والسيطرة الكاملة على معهم. هذا من شأنه أن يعطي المهاجمين الوصول غير المقيد للحماية شبكات أو تسبب في إعادة تعيين الجهاز. الضعف كان تعطى تصنيف نظام نقاط الضعف المشترك من الحرجة ، برصيد 10 – أعلى مستوى ممكن على مقياس CVSS.

يسمح WebVPN لشخص ما خارج شبكة الشركة بالاتصال إلى إنترانت الشركات وموارد الشبكة الأخرى من داخل جلسة متصفح آمنة. لأنه لا يتطلب أي برنامج عميل أو شهادة موجودة مسبقا للوصول من الإنترنت ، و WebVPN يمكن الوصول إلى البوابة بشكل عام من أي مكان على الإنترنت — و نتيجة لذلك ، يمكن مهاجمته برمجياً. متحدثة لفريق الأمن سيسكو قال في التنبيه أن سيسكو ليست كذلك علم أي مآثر نشطة من الضعف الآن. لكن طبيعة الضعف معروفة بالفعل للجمهور ، لذلك يستغل يكاد يكون من المؤكد أن تظهر بسرعة.

الضعف ، اكتشف سيدريك هالبرون من NCC المجموعة ، يجعل من الممكن للمهاجم استخدام متعددة ، خاصة تنسيق رسائل XML المقدمة إلى واجهة WebVPN الخاصة بـ الجهاز المستهدف في محاولة ل “مزدوجة خالية” الذاكرة على النظام. تنفيذ أمر لتحرير عنوان ذاكرة معين أكثر أكثر من مرة يمكن أن يسبب تسرب الذاكرة الذي يسمح للمهاجم بالكتابة أوامر أو بيانات أخرى في كتل من ذاكرة النظام. عن طريق القيام لذلك ، قد يتسبب المهاجم في تنفيذ النظام أوامر أو يمكن أن تفسد ذاكرة النظام ويسبب أ يصطدم.

الأنظمة المتأثرة هي أجهزة تشغل برنامج ASA الخاص بشركة Cisco مع تمكين WebVPN. وتشمل هذه:

• جهاز الأمن الصناعي سلسلة 3000 (ISA)
• ASA 5500 سلسلة أجهزة الأمن التكيفي
• ASA 5500-X سلسلة جدران الحماية من الجيل التالي
• ASA Services Module for Cisco Catalyst 6500 Series Switches and Cisco 7600 Series Routers
• ASA 1000V Cloud Firewall
• الأجهزة الافتراضية للأمن المتكيف (ASAv)
• فاير باور 2100 سلسلة الأمن الأجهزة
• فاير باور 4110 الأمن الأجهزة
• قوة الأمن 9300 وحدة الأمن ASA
• برنامج الدفاع عن تهديد القوى النارية (FTD)

أصدرت شركة Cisco تصحيحًا للثغرة الأمنية. ولكن للحصول على التصحيح ، العملاء دون عقود الصيانة الحالية سوف تضطر إلى اتصل بمركز المساعدة الفنية التابع لشركة Cisco (TAC) للحصول على رقعة قماشية. التواصل مع بعض المتخصصين في مجال الأمن الإحباط من الاستجابة البطيئة التي تلقوها من TAC من Cisco.

تحديث [3:00 PM EST] متحدث باسم Cisco شريطة العبارة التالية: “سيسكو ملتزمة الكشف المنسق المسؤول عن نقاط الضعف ، و يحافظ على علاقة مفتوحة للغاية مع البحوث الأمنية تواصل اجتماعي. بمجرد أن علمت سيسكو أن هناك جمهور محتمل الوعي بهذه القضية ، نشرنا على الفور الأمن المشورة لإبلاغ العملاء ما هو عليه ، وكذلك كيفية تقييم شبكتهم وعلاج هذه القضية. رقعة ، والتي تتناول هذه الثغرة الأمنية على وجه التحديد ، كانت متاحة منذ إفشاء.”