Cisco waarschuwt voor kwetsbaarheid via defaultwachtwoord op ENCS- en CSP-router

Cisco heeft bezitters van de ENCS 5400-W- en CSP 5000-W-series netwerkapparatuur gewaarschuwd voor een bug waarbij aanvallers een standaardwachtwoord kunnen gebruiken. Dat wachtwoord is niet te veranderen, dus moet er een software-update komen.

Het gaat specifiek om een kwetsbaarheid in Cisco's virtualisatiesoftware Enterprise NFV Infrastructure Software in Virtual Wide Area Application Services, of vWAAS, op de ENCS 5400-W en CSP 5000-W. In die apparaten staan volgens Cisco gebruikersaccounts met een standaardwachtwoord. Een aanvaller die toegang kan krijgen tot de commandline-interface van de NFV Infrastructure-software, kan gemakkelijk inloggen met adminrechten op de apparaten met zo'n account.

Er zijn verschillende mogelijkheden om in de commandline te komen, zegt Cisco. Zo kan het bijvoorbeeld zijn dat ethernetmanagement naar buiten toe openstaat, of een aanvaller kan eerst een verbinding maken met de Integrated Management Controller.

Cisco schrijft dat er op dit moment geen work-around is voor het probleem. Wel heeft het bedrijf een patch uitgebracht. Het lek, CVE-2020-3446, komt voor in versies 6.4.5 en 6.4.3d of ouder van de NFV-software.

Reacties (41)

[eelco74]

1988 wil graag zijn kwetsbaarheid terug.....

Ik heb in het verleden heel wat cisco apparatuur geconfigureerd en geplaatst. Ook toen al had cisco ios software Last van bugs, half werkende features of beloofde features die er nog niet in zaten. Het aantal cve’s was op een gegeven moment niet meer bij te houden.

Echt verbazingwekkend hoe basaal deze kwetsbaarheid is, dit verwacht je meer van een chinees iot device, dan van cisco. Tenzij het er idd bewust in zat.

[Verwijderd]

Concurrenten hebben deze problemen ook gewoon. Zie bijv. de CVE lijst van Juniper

[dehardstyler]

Wederom Amerikaans, en wederom hardcoded passwords. The plot thickens...

Ik heb net een rol aluminiumfolie om mijn hoofd gewikkeld.

[Verwijderd]

Gaat helemaal nergens om. En T.net die een hardcoded password een bug noemt is al even erg.

Een hardcoded password is een feature, en wel een zeer onwenselijke. Zeker geen bug. Mag je mij uitleggen hoe er bij het bouwen per ongeluk een hardcoded password in komt voor een account wat al niet eens zou moeten bestaan.

Keer op keer Cisco (en ook Juniper) die met dit soort dingen komt. Ook al enkele malen toegegeven dat bepaalde backdoors door de NSA verplicht waren. De Chinese overheid neemt graag kennis van deze backdoor, ideaal.

Echt hoog tijd dat we in de EU weer wat eigen spulletjes gaan ontwikkelen én bouwen. En daar zal dan ook wel een hardcoded password bug in moeten, maar dat is dan in elk geval die van ons. En niet die van een vreemde mogendheid met intenties die niet de onze zijn.

[dehardstyler]

Een hardcoded password is een feature, en wel een zeer onwenselijke. Zeker geen bug. Mag je mij uitleggen hoe er bij het bouwen per ongeluk een hardcoded password in komt voor een account wat al niet eens zou moeten bestaan.

Als dat nou één keer was.
Maar dit is letterlijk al minstens 20 keer voor gekomen, waar ik vanaf weet. Maar volgens mij is het al vaker voorgekomen bij Cisco.

Echt hoog tijd dat we in de EU weer wat eigen spulletjes gaan ontwikkelen én bouwen. En daar zal dan ook wel een hardcoded password bug in moeten, maar dat is dan in elk geval die van ons. En niet die van een vreemde mogendheid met intenties die niet de onze zijn.

100% eens!

Daarom is de VS ook zo fanatiek met iedereen beschuldigen van spionage: "zoals de waard is, vertrouwt hij zijn gasten." Alles in de VS zit gewoon vol met backdoors.

[eelco74]

Dat concurrente deze problemen ook hebben, is geen enkele reden voor cisco om het niet beter te doen.

[OxWax]

Ik heb in het verleden heel wat cisco apparatuur geconfigureerd en geplaatst. Ook toen al had cisco ios software Last van bugs, half werkende features of beloofde features die er nog niet in zaten. Het aantal cve’s was op een gegeven moment niet meer bij te houden.

Wat deed u dan als je(de klant) die features nodig had?

[eelco74]

Helaas net zo lang wachten tot bij de volgende ios release de feature (werkend) was toegevoegd.

Dit is overigens iets wat ook andere merken (juniper en huawei inlusief) vaker doen, bij aanbestedingen dingen beloven die op moment van implementatie pas bij de volgende release komen. Maar cisco als vroege speler op de markt deed dit al heel lang.

[dehardstyler]

Hmmmmmmmm een Cisco pakket die altijd met een bepaald wachtwoord te benaderen is? Wat gek zeg. Dat is pas de honderdste keer dit jaar! Wanneer gaan we Cisco verbieden in onze netwerken en er gewoon Huawei apparatuur voor neer hangen?

[d5stick]

Dat gaat 'Murica niet leuk vinden en aangezien de EU nogal een schoothondje is...
Even zonder gekheid, Cisco is al meermaals openlijk betrapt op backdoors die door overheidsinstanties misbruikt werden. Toch blijft het 1 van de hoogst aangeschreven bedrijven om netwerk apparatuur te leveren aan bedrijven en instanties..

En omdat Huawei van iets "vermoed" wordt moet het dood gemaakt worden.

[Cilph]

Ik zou het inderdaad ook op prijs stellen als de VS of andere instanties eens met openbaar bewijs komen van zulke backdoors. Het risico bestaat inderdaad, maar het is voor mij momenteel kiezen tussen tweede kwaden.

Bij de VS weet je dat je een backdoor van ze krijgt, en misschien een backdoor van China erbij want ze produceren toch wel in China.

Bij Chinese apparatuur ergo zou je dan minder risico lopen...

[Rob Coops]

Dat is toch niet zo heel erg gek dat men nog steeds Cisco verkiest boven andere apparatuur?
Immers vele van de mensen die deze beslissingen maken "hebben er zelf verstand van" want ze komen uit de netwerk wereld en hebben dus hoogst waarschijnlijk zelf jaren met Cisco gewerkt en verkiezen dit vrijwel automatisch boven een ander product omdat ze er veel meer bekend mee zijn.
Ook zijn de meeste netwerken gebouwd in de tijd dat Cisco bijna de alleen heerser was op netwerk apparatuur gebied dus veel bestaande infrastructuur draait daar op en de mensen die dit beheren zijn Cisco certified something or the other en bedrijven betalen liever niet een klein fortuin aan trainingen bij een andere netwerk apparatuur leverancier om hun mensen met de twee verschillende apparaten te laten werken.

Huawei moet echt niet kapot omdat men vermoed dat de Chinese overheid het zelfde doet als de Amerikaanse overheid. We kunnen er 100% zeker van zijn dat geen enkele netwerk apparatuur leverancier vrij is van dit soort inbreuken door hun overheden omdat het de makkelijkste manier is om aan data van andere landen te komen.
Huawei moet kapot omdat Amerika liever niet heeft dat China het land is dat de data verzameld die zij zelf zo graag wil hebben. Daarom moet Huawei kapot. Als we allemaal massaal over zouden stappen naar de concurrent hoe kan Amerika dan bij al de andere landen spioneren?

Laten we eerlijk zijn beide landen zijn minimaal op een zelfde niveau als het op honger naar informatie aankomt. En dankzij de goedkopere producten uit China die wat betreft prestaties echt niet onderdoen voor Cisco producten begint China steeds meer toegang tot data te krijgen en Amerika steeds meer toegang te verliezen en dat kan natuurlijk niet. Vandaar de hetze tegen Huawei, als Amerika de mogelijkheid had gehad om de Chinese apparatuur van hun eigen spyware te voorzien dan hadden we allemaal op de vrije markt moeten vertrouwen en gewoon het product moeten kopen dat het beste was voor onze use-case etc...

Nu beschuldig ik geen van beide bedrijven van het opzettelijk installeren van backdoors of iets in die richting. We weten dat Amerika zendingen onderschept de Cisco apparatuur uit de doos haalt er een extra goede American made stuk software op zet en deze weer netjes inpakt en zijn reis lat vervolgen. China zal waarschijnlijk weinig anders doen, op deze manier is het bedrijf beschermd tegen mogelijke aanklachten kan het bedrijf met een strak gezicht zeggen dat zij dit nooit zouden toestaan en dat er iemand binnen de overheid misschien wel misbruik heeft gemaakt van de speciale toegang die zij tot de broncodes hebben.

[MrFax]

Hoevaak moet het nog gezegd worden: In China is bekend dat bedrijven zich aan de communistische partij moeten haken, en wordt alle bedrijfsvoering door deze partij gecontroleerd. Gebeurt dit in Amerika? Wie weet, maar in China is dit algemeen bekend.

[CH4OS]

In Amerika was Prism dan weer een ding waar men zonder een klokkenluider niet eens van wist.

[Reactie gewijzigd door CH4OS op 23 juli 2024 08:45]

[invic]

Dat is het voordeel dat wij nog klokkenluiders hebben! In China of Rusland mag je de klokken luiden in de gevangenis als je geluk hebt.

[d5stick]

Beide naties hebben beide evenveel kans om door de overheid te bekeken worden.
In China geeft men dit tenminste toe dat die kans er is terwijl in de USA ze dit niet toegeven maar Cisco meerdere malen al in verlegenheid is gebracht dat dit wel werd gedaan door de backdoors open te stellen.

Dan moet men consequent zijn en niet alleen apparatuur vanuit China verbieden maar ook vanuit de USA.
Het is een hypocriet spelletje waarin de EU een schoothondje is van de USA in dit soort zaken.

[invic]

Huh, in China geven ze dit toe??? Ik zou eerder omdraaien. Van Cisco weten wij via media en klokkenluiders dat zij dit doen. Maar China? Nooit ergens gelezen dat zij het toegeven mbt spionage of backdoor...

[Reactie gewijzigd door invic op 23 juli 2024 08:45]

[MrFax]

In China is bekend dat medewerkers van veel grote bedrijven inclusief Huawei CCP "cursussen"(hersenspoeling kan je het bijna noemen) moeten volgen. Waar dus heel veel propaganda doorheen gaat.

Het is onmogelijk om de VS qua dat te vergelijken met China. In China is het gewoon pure onderdrukking, waarbij het in de VS geheim wordt gehouden.

Miljoenen Chinesen verdedigen de overheid met dit soort praktijken. Vooral omdat ze bang zijn dat de overheid ze laat "verdwijnen". Dat kan je gewoon niet vergelijken met de VS.

[Reactie gewijzigd door MrFax op 23 juli 2024 08:45]

[Metalfreak]

Gelukkig compenseert Cisco dat met hun lage prijzen.....ow wacht...

[Luchtbakker]

Apart dat een default wachtwoord niet aan te passen is. Wat heeft een wachtwoord dan nog voor zin?

[Yucko]

klinkt als een ingebouwde backdoor

[OxWax]

Dat is geen backdoor, meer een festival zonder omheining maar, ik lees nergens dat je dat paswoord niet kan instellen?

EDIT : *static password* uit de bron veronderstel ik?

[Reactie gewijzigd door OxWax op 23 juli 2024 08:45]

[T.C]

Dat is geen backdoor, meer een festival zonder omheining maar, ik lees nergens dat je dat paswoord niet kan instellen?

Het is eerder een festival met omheining, waarbij een standaard sleutel werkzaam is.
(Vergelijkbaar met de driehoekige sleutel van de Amsterdammertjes, zodra je die hebt kan je alle ze allemaal verwijderen.)

[TheVivaldi]

Of liften. Genoeg liften in verschillende landen die één sleutel delen, ook regelmatig driehoekig.

[Groningerkoek]

Die driehoekige sleutels zijn om in noodgevallen/reparaties de deuren te kunnen openen en vastzetten en niet voor de bediening. Wel zo handig om daar een standaard bij aan te houden anders moet de brandweer straks de helft van de tijd of die deuren openbreken of wachten tot de sleutel is gevonden..

[TheVivaldi]

Ik zeg niet dat het raar of onveilig is, ik vulde alleen de reactie boven mij aan...

[OxWax]

6 kant
https://www.werfonline.be...leutelamsterdammer/20068/

@Groningerkoek

[Reactie gewijzigd door OxWax op 23 juli 2024 08:45]

[Verwijderd]

Het is echt wel een backdoor.
Hard-coded wachtwoorden is al sinds jaar en dag een security no-go. Zeker een bedrijf dat security devices maakt weet dat maar al te goed. Gezien dit ook al niet de eerste keer is, hebben ze dit echt wel bewust geïmplementeerd. Het is onmogelijk dat dit onbewust is gebeurd.

Dit lijkt mij eerder een backdoor die nu gelekt of ontdekt is. Nu moet deze dus zo snel mogelijk gepatched worden.

[Reactie gewijzigd door Verwijderd op 23 juli 2024 08:45]

[CH4OS]

Uit de inleidende paragraaf:

Dat wachtwoord is niet te veranderen, dus moet er een software-update komen.

[Estel]

Er zijn wel vaker hard coded wachtwoorden. Zo weet ik van een bepaald software pakket dat er een hard coded standaard super user is met een standaard wachtwoord. Tijdens de installatie wordt deze gebruiker ook aangemaakt met een zelfgekozen wachtwoord die de hard-coded altijd overruled. Zolang deze gebruiker er is, wordt de hard-coded gebruiker genegeerd. Door de gebruiker te wissen uit de gebruikertabel kun je altijd inloggen bij problemen. Zolang ze niet bij je database kunnen, is dat niet zo'n probleem.

[PageFault]

Als je het aanpast, is het geen default wachtwoord meer

[wica]

bug waarbij aanvallers een standaardwachtwoord kunnen gebruiken. Dat wachtwoord is niet te veranderen,

Cisco schijnt niet te leren van zijn fouten uit het verleden.
Dit een bug te noemen, gaat mij overigens wel weer te ver.

[dehardstyler]

En daarom kan ik ook gewoon niet meer geloven in een onschuldig karakter. Ze hebben deze problemen aan de lopende band. Een "normaal" bedrijf zou zich in deze keer op keer kapot schamen en het hele proces op zijn kop gooien, maar dat lijkt hier allemaal niet te gebeuren. Er komt een "bug" update en op naar de volgende....

[sampoo]

Het is een bug of iets nog erger lijkt me. Als er onbewust een standaardaccount is gehardcoded in de releaseversie dan is het een bug en een teken voor risicovol en slordig ontwikkelwerk. Was er enige mate van bewustheid dan zou je kunnen spreken van een backdoor, en op zijn minst onverantwoord handelen.

[wica]

/sarcasme
Gelukkig staat Cisco niet echt bekent om, bewust backdoors in hun software te hebben/

[Het.Draakje]

Neen, dit is zeker geen bug. Dit is een verkeerd design. Je gebruikt geen standaard wachtwoorden voor connected devices. Een gebruiker moet altijd het recht hebben ieder password te wijzigen, in de frequentie die hij wenselijk vindt.

[SpoekGTi]

En die software update die het lek fixt fixt meteen dat je het default wachtwoord kan wijzigen?

Oh nee want dat valt niet in het straatje van de NDA van de US natuurlijk, maar China is de grote boosdoener hier dus geen Huawei spul hoor want dat is eng omdat we dan de controle verliezen

[technorabilia]

Waarschijnlijk gedateerde software uit tijden dat het allemaal niet zo in the picture stond en waar nooit iemand meer aan heeft gedacht. Onder het veelgebruikte motto: wat werkt dat werkt.

[Nick1402]

Dat wachtwoord is niet te veranderen, dus moet er een software-update komen.

Cisco schrijft dat er op dit moment geen work-around is voor het probleem.

Wel heeft het bedrijf een patch uitgebracht.

Cisco is niet de enige die fouten maakt. In de release note van de patch staat:

Strong software password enforcement: For Cisco WAAS Version 6.4.3e and later, users must change the default password for the admin user after initial login.

Kan een hacker die deze bug misbruikt en de patch instaleert (hij heeft admin rechten) de legitieme administrator buiten sluiten? (ik weet dat het dom zou zijn vanuit het standpunt van een criminele hacker.)

[Reactie gewijzigd door Nick1402 op 23 juli 2024 08:45]

[Z80]

Ja kan. Maar als het goed is heeft de eigenaar/administrator een backup van de config.
Systeem terug naar de fabrieksinstellingen kan bij een cisco altijd als je de hardware in handen hebt.