Positive Technologies Cisco ACS’da xavfli zaiflikni aniqladi.

Hujumchi korporativ tarmoqdagi imtiyozli foydalanuvchilarning kirish maʼlumotlarini qo‘lga kiritishi va ichki resurslarga hujum qilishi mumkin.

Positive Technologies mutaxassislari Mixail Klyuchnikov va Yuriy Aleynov kirishni boshqarish bo‘yicha mashhur server — Cisco ACS’ning veb-interfeysida jiddiy zaiflikni aniqladilar. Ushbu xavfsizlik kamchiligi ruxsatsiz hujumchiga vakolatli foydalanuvchi huquqlari bilan serverda ixtiyoriy buyruqlarni bajarish imkonini beradi.

CVE-2018-0253 zaifligiga CVSS v3.0 bo‘yicha 9,8 ball berilgan bo‘lib, bu uning o‘ta yuqori xavflilik darajasiga ega ekanligini anglatadi. Ichki tarmoqqa kirish imkoniyatiga ega bo‘lgan tajovuzkor tarmoq qurilmalari uchun mo‘ljallangan foydalanuvchi ma’lumotlarini (login va parollarni) o‘zgartirishi yoki qo‘lga kiritishi, boshqa ichki tarmoq resurslariga hujum qilishi yoki «o‘rtadagi odam» (man-in-the-middle) hujumlarini amalga oshirishi mumkin. Agar Cisco ACS veb-interfeysiga tashqi tarmoqdan kirish imkoni bo‘lsa, ushbu harakatlarni dunyoning istalgan nuqtasidan turib amalga oshirish mumkin.

«Cisco ACS Microsoft Active Directory bilan integratsiya qilinganda — bu juda keng tarqalgan holat — hujumchi domen administratori hisob maʼlumotlarini o‘g‘irlashi mumkin; Active Directory integratsiyasi bo‘lmagan holatlarda esa u tarmoq trafigini (jumladan, maxfiy maʼlumotlarni) kuzatish yoki bank tranzaksiyalarini qayta ishlash tizimlari kabi cheklangan tarmoq segmentlariga kirish uchun routerlar va xavfsizlik devorlari (firewall) ustidan nazoratni qo‘lga kiritishi mumkin», — deydi Positive Technologies kompaniyasining veb-ilovalar xavfsizligi bo‘yicha tahlilchisi Mixail Klyuchnikov.

Muammo serverda AMF3 protokoli xabarlarining noto‘g‘ri qayta ishlanishi oqibatida yuzaga keladi. Hujumchi AMF3 xabari tarkibiga maxsus tayyorlangan serializatsiyalangan Java obyektini kiritishi mumkin [2]. Ushbu obyekt deserializatsiya qilinganda, server hujumchi tomonidan ko‘rsatilgan manbadan zararli kodni yuklaydi va bajaradi.

v5.8.0.32.7 dan oldingi versiyalar (avtorizatsiya talab qilinmaydi), shuningdek, v5.8.0.32.7 va v5.8.0.32.8 versiyalari (avtorizatsiya talab qilinadi) ushbu zaiflikka moyil. Muammoni bartaraf etish uchun ishlab chiqaruvchi serverni 5.8.0.32.9 yoki undan keyingi versiyaga yangilashni tavsiya qiladi.

Zararli faoliyatni aniqlash uchun Positive Technologies kompaniyasi MaxPatrol SIEM axborot xavfsizligi hodisalarini boshqarish tizimidan foydalanishni tavsiya qiladi. Aprel oyida MaxPatrol SIEM tizimiga Active Directory bilan bog‘liq hodisalarni aniqlashga qaratilgan 26 ta yangi qoida qo‘shildi; korporativ tarmoqlarda Microsoft katalog xizmatlari ko‘pincha Cisco ACS bilan chambarchas integratsiya qilinadi va tez-tez hujumlar uchun asosiy nishonga aylanadi. Bundan tashqari, ushbu zaiflikdan foydalanuvchi kiberhujumlarga qarshi himoyalanish uchun PT Application Firewall yechimini joriy etish mumkin; u Java deserializatsiya hujumlaridan himoyalanish imkoniyatini taqdim etadi va AMF protokolini qo‘llab-quvvatlaydi.

[1] Cisco ACS (Access Control Server) markazlashtirilgan autentifikatsiyani taʼminlaydi hamda foydalanuvchilar va xavfsizlikni boshqarishni soddalashtiradi.

[2] Serializatsiya — bu dastur kodini tarmoq orqali uzatishga mos formatda ifodalashdir.