هشدار سیسکو در مورد سوء استفاده دوباره از نقص CVE-2018-0296

سیسکو به مشتریان هشدار داده است که هکر ها همچنان با سوء استفاده از نقص CVE-2018-0296 محصولات سیسکو ASA و Firepower را هدف قرار می دهند.

آسیب پذیری CVE-2018-0296 را می توان توسط یک مهاجم ریموت و غیر مجاز برای دستیابی به اطلاعات حساس از طریق حملات دایرکتوری مورد سوء استفاده قرار داد، سوء استفاده از این مسئله همچنین می تواند شرایط حمله (DoS(Danial-Of-Service را ایجاد کند.

سیسکو بیان کرد که: ” این آسیب پذیری در رابط وب (ASA(Cisco Adaptive Security Appliance می تواند به یک مهاجم ریموت غیر مجاز اجازه دهد تا به یک دستگاه آسیب دیده دسترسی پیدا کرده که این امر منجر به حمله DoS می شود. همچنین در برخی نسخه های نرم افزاری امکان پذیر است که ASA بارگذاری نشود، اما یک مهاجم می تواند اطلاعات حساس سیستم را بدون تایید اعتبار با استفاده از تکنیک های پیمایش دایرکتوری مشاهده کند.”

علت ریشه ای این مساله فقدان اعتبار ورودی مناسب برای لینک های HTTP است که می تواند توسط یک مهاجم با ارسال یک درخواست HTTP به ویژه به یک دستگاه آسیب پذیر مورد استفاده قرار گیرد.

آسیب پذیری CVE-2018-0296 در نرم افزار سیسکو ASA و سیسکو (FTD(Firepower Threat Defence که در حال اجرای محصولات زیر می باشند، تاثیر می گذارد:

• (3000 Series Industrial Security Appliance (ISA
• ASA 1000V Cloud Firewall
• ASA 5500 Series Adaptive Security Appliances
• ASA 5500-X Series Next-Generation Firewalls
• ASA Services Module for Cisco Catalyst 6500 Series Switches and Cisco 7600 Series Routers
• (Adaptive Security Virtual Appliance (ASAv
• Firepower 2100 Series Security Appliance
• Firepower 4100 Series Security Appliance
• Firepower 9300 ASA Security Module
• (FTD Virtual (FTDv

این آسیب پذیری بیش از در اوایل ژوئن 2018 برطرف شد، چرا که با افشای آن بسیاری از PoC ها به صورت آنلاین منتشر شد.

این آسیب پذیری در ابتدا با شدت زیاد(High) طبقه بندی شد اما اخیرا سیسکو آن را با شدت بحرانی(Critical)  ارزیابی کرد. همچنین محققان در Talos در مورد این حملات هشدار هایی را منتشر کردند.

سیسکو اخیرا متوجه افزایش ناگهانی در تلاش از بهره برداری در برابر از آسیب پذیری خاص در تجهیزات امنیتی ASA و Firepower شده است. آسیب پذیری CVE-2018-0296 یک حمله DoS و افشای اطلاعات است که در چهارچوب وب یافت شده است.

این یک آسیب پذیری جدید نیست اما با ادامه بهره برداری از آن مشتریان باید از عواقب آن آگاه باشند.

ادمین ها با استفاده از اجرای دستور زیر می توانند دریابند که آسیب پذیر هستند یا نه:

show asp table socket | include SSL|DTLS

اگر دستور هرگونه مشکلی را نشان دهد دستگاه به طور بالقوه در معرض خطر است. برای تعیین اینکه آیا فرآیند آسیب پذیری در حال اجرا است یا نه مدیر می تواند دستور زیر را اجرا کند:

show processes | include Unicorn

برای  حل این مشکل سیسکو آپدیت های جدیدی را برای این آسیب پذیری منتشر کرده است.