Cisco ontdekt tweede actief uitgebuite zeroday in IOS XE en komt zondag met fix

Cisco heeft een tweede zerodaykwetsbaarheid ontdekt in zijn IOS XE-software. Dit lek wordt samen met de eerder gevonden bug actief gebruikt om routers en switches volledig over te nemen. Cisco zegt een fix voor beide kwetsbaarheden te hebben gevonden die op 22 oktober wordt uitgebracht.

In een update laat Cisco weten dat het meer informatie heeft ontdekt over de CVE-2023-20198-kwetsbaarheid die het bedrijf eerder deze week naar buiten bracht. Cisco dacht aanvankelijk dat hackers met deze kwetsbaarheid getroffen routers en switches volledig kunnen overnemen, maar stelt nu dat dit lek ze enkel in staat stelde om 'een lokale gebruikers- en wachtwoordcombinatie' aan te maken en 'normale' gebruikerstoegang te verkrijgen. Vervolgens kon echter een andere kwetsbaarheid, die CVE-2023-20273 wordt genoemd, worden gebruikt om rootprivileges te verwerven en zo wél de volledige controle te krijgen over het apparaat. De eerder ontdekte bug heeft een CVSS-ernstigheidsscore van 10 uit 10, en de nieuwe een score van 7,2 uit 10.

De bug heeft invloed op apparaten die de IOS XE-web-UI gebruiken in combinatie met de HTTP of Https Server-functies. Cisco zegt dat het een oplossing heeft gevonden, en dat de eerste software-updates met een fix op zondag 22 oktober beschikbaar worden gemaakt via het Cisco Software Download Center. Tot die tijd raadt het bedrijf gebruikers aan om de HTTP Server- of Https Server-functies uit te schakelen.

Cisco vermeldt niet hoeveel gebruikers er mogelijk getroffen zijn door deze kwetsbaarheden. De non-profitbeveiligingsorganisatie Shadowserver liet vrijdag weten dat zo'n 37.000 IOS XE-IP-adressen zijn gemanipuleerd, maar dat er bij 'slechts' circa 19.000 daarvan unieke, schadelijke hexcode is aangetroffen. Daarom verwacht het bedrijf dat er tot dusver zo'n 19.000 apparaten daadwerkelijk aangevallen zijn.

Reacties (56)

[Damic]

Maar ik vraag me nog steeds af over welke series devices het nu gaat.

Ha gevonden https://www.cisco.com/c/e...open-flex-aag-cte-en.html

[Reactie gewijzigd door Damic op 23 juli 2024 02:31]

[laptopleon]

Handig. En het heeft dus niets met iOS te maken.

Vraag me in zo’n geval altijd af waarom een bedrijf van alle mogelijke lettercombinaties uitgerekend een naam kiest die je op het verkeerde been kan zetten.

[Cybertinus994]

Dat moet je dan aan Apple vragen waarom ze dat gedaan hebben. Niet aan Cisco. Cisco gebruikt de naam IOS al decennia, sinds de jaren 90 al. Apple heeft later (in 2007 kwam de eerste iPhone, dacht ik) bedacht om het OS voor telefoons iOS te noemen.
En bij Cisco heet het tegenwoordig ook IOS-XR (voor hun routers) of IOS-XE (al hun andere netwerk spul, behalve de Nexus lijn), niet meer puur IOS.
Ook kan je het verschil zien aan het eerste karakter: IOS (Cisco) en iOS (Apple)

[laptopleon]

Ik wist niet wie er eerder was, maar het blijft onhandig, in dit geval van Apple.

[Cybertinus994]

Ja, het blijft een ongelukkige keuze. Maar in de praktijk valt het meestal gelukkig mee. In de gesprekken die ik voer altijd is het mij altijd wel duidelijk over welke ios het gaat.
Mijn telefoon is een iPhone, de meeste collega’s van me hebben een iPhone en ik werk als netwerkbeheerder in een netwerk dat voor 99% Cisco is met een paar duizend apparaten

[kimborntobewild]

Vraag me in zo’n geval altijd af waarom een bedrijf van alle mogelijke lettercombinaties uitgerekend een naam kiest die je op het verkeerde been kan zetten.

Zie je 't probleem echt niet?

Er zijn slechts 17576 mogelijke lettercombinaties, als je 3 letters neemt. Laat je politieke en andere gevoelige afkortingen weg, dan houdt je minder over. Laat je afkortingen weg die zelden ergens op zullen of kunnen slaan, zoals bijv. met een Q of Y er in, dan slinkt 't al weer verder. Misschien zijn er maar zo'n 10000 bruikbare afkortingen.
En stel, je wilt dus een 3-letterige afkorting. Want een 4-letterige afkorting wordt veel slechter onthouden door klanten.
Dan zouden dus slechts zo'n 10000 bedrijven elk een eigen afkorting kunnen gebruiken. Er zijn meer dan 100 miljoen bedrijven. Dus ongeveer 100000 bedrijven zullen allemaal een 3-letterige afkorting met elkaar moeten delen, als ze een 3-letterige afkorting willen gebruiken. Anders gezegd: als ieder bedrijf een willekeurige 3-letterige afkorting bedenkt, zul je ontdekken dat er ongeveer nog 100000 bedrijven zijn die dezelfde afkorting hebben bedacht.

[laptopleon]

Ik vind het ook leuk om dit soort berekeningstjes te maken, maar dit is wel een heel nauwe scope, met aannames waar op af te dingen valt. De meeste van die 100 miljoen bedrijven hebben geen eigen, unieke productnamen nodig. Ze verbouwen bijvoorbeeld aardappels, verkopen zand of rijden taxi.

Daarnaast is het ook niet snel verwarrend als een aardappelras, zandmix of taxi-abonnement de naam IOS / iOS heeft, want dat is iets heel anders dan een operating system. Daarom kan Diana probleemloos gebruikt worden voor een geneesmiddel en tegelijkertijd voor een aardappelras, een lettertype en een bouwer van luxe jachten zijn en zal het in een andere context weer vanzelfsprekend worden gevonden dat wijlen de Engelse princes wordt bedoeld.

Een 3-letterige naam of afkorting wordt niet per definitie beter onthouden dan een wat langere. Als dat waar was, zouden veel producten een extreem korte naam hebben. GDL (ik noem maar een zijstraat) zal niet beter blijven hangen dan een combinatie die bijvoorbeeld meer lijkt op een 'echt woord' zoals DOOS of CISCO.

[Zackito]

IOS is voor zakelijk netwerkapparatuur.

iOS is een OS voor smartphones.

Jij als leek zal nooit te maken te krijgen met IOS behalve dit artikel dan wellicht.

[Reactie gewijzigd door Zackito op 23 juli 2024 02:31]

[DutchKevv]

Ben benieuwd of Apple er ook zo overdenkt als iemand anders de naam IOS voor bijvoorbeeld auto software of koelkasten gaat gebruiken.

Plus is iemand meteen als leek bestempelen ook niet heel professioneel

[bzuidgeest]

Apple kan niet echt moeilijk doen. De naam IOS werd al gebruikt door Cisco voordat Apple hem ging gebruiken, dus misschien kunnen ze een claim doen op de styling iOS, maar de combinatie zelf? Ik betwijfel het. Tenzij je natuurlijk een "IOS" maakt voor telefoons, dan creëer je verwarring en rechtbanken zijn daar gevoelig voor. Cisco en Apple zitten echter in andere markten met hun "IOS/iOS"

[Old Swartly]

Apple denkt daar net zo min positief over als Cisco, daarom hebben ze ook een licentie op de naam iOS genomen toen ze die naam wilden gaan gebruiken (https://web.archive.org/w...is-already-used-by-cisco/)

[sOid]

Shodan heeft deze vulnerability ook toegevoegd aan hun Exposure dashboard. Volgens dat dashboard zijn er 1891 gevallen in Nederland die nog webfacing zijn. https://exposure.shodan.io/#/NL

[HKLM_]

Noord-holland is daar wel erg rood vergeleken met de rest.

[Reactie gewijzigd door HKLM_ op 23 juli 2024 02:31]

[sOid]

Daar gaat het om het totale aantal he, niet specifiek voor deze kwetsbaarheid. Maar inderdaad is het verschil met de rest van het land groot. Zal wel door AMS-IX en datacenters in die regio komen.

[Cybertinus994]

De AMS-IX draait niet op Cisco, maar op Juniper: nieuws: AMS-IX vervangt switches door Juniper en verlaagt energiegebruik met ...

Verder zitten er heel veel datacentra in Amsterdam voor allerlei bedrijven. Die ook allemaal zeer zeker niet per definitie aan de AMS-IX hangen. Maar het gros van de netwerk apparatuur staat wel in Amsterdam ja.

[Nox]

Ik denk dat die opmerking over amsix is dat het om de connectiviteit naar andere machines is. Als die in Rotterdam stond hadden daar meer datacentra gestaan vermoedelijk.

[kodak]

Afgezien de betrouwbaarheid van de geografische precisie vaag is, je kan dan net zo goed stellen dat het opvalt dat er erg weinig in andere provincies mis lijkt. Zonder context voegen dit soort geografische beweringen dus niets toe aan de discussie. Dan gaat het meer om makkelijk kenmerken te accepteren om iets selectief opvallend te vinden. Kom dan op zijn minst met een onderbouwing hoe dit relevant is. Bijvoorbeeld door te tonen dat het om specifieke bedrijven gaat die niet in andere provincies diensten aanbieden, of dat het een geografische keuze is bepaalde apparatuur alleen daar in te zetten ook al is men in alle provincies acties.

[Woodsnaps]

Kom dan op zijn minst met een onderbouwing hoe dit relevant is.

Calm your horses, @HKLM_ verteld volgens mij alleen wat zijn/haar waarneming is van de website waar hij/zij zojuist op heeft geklikt… ik denk dat het onnodig is om meteen vol in de aanval te gaan op deze gebruiker…

[HKLM_]

Azijn op? Het enige wat ik deed is klikken op de link van @sOid en constateren dat noord-holland er rood is.

Jij maakt er een heel verhaal van verder.

[klakkie.57th]

Waarom in godsnaam wil je een switch bereikbaar maken vanaf het internet

[Punkbuster]

Precies, goede vraag. Dit soort dingen expose je niet direct.

[Sfynx]

Best eng om te zien hoeveel mensen dit soort interfaces gewoon open zetten i.p.v. ze in een of ander beheer-VLAN / achter VPN te zetten wat volgens mij gewoon best practice is ook al moet je ook op het apparaat zelf inloggen. Ik vertrouw eigenlijk nooit alleen op de authenticatie op het apparaat zelf, we hadden ook weleens van die Supermicro IPMI interfaces die met stokoude versies van allerlei dingen zoals SSH en VNC e.d. werkten met een hoop vage open poorten, maar zolang je dat achter een eigen beveiligingslaag hangt is dat allemaal niet zo'n probleem.

[BvdW1978]

Ik vind het eigenlijk wel een probleem. Zoveel grote leveranciers hebben hun basishygiene stomweg niet op orde, maar wij stuffen het dan allemaal wel achter een VPN en noemen het vervolgens "niet zo'n probleem". Dat is het juist wel. Zo'n device zou de-facto gewoon *wel* aan het publieke internet moeten kunnen hangen zonder dezelfde dag nog gehackt te worden. Dat je dat dan nog steeds niet doet, is een defense-in-depth stukje gezond verstand. Het zou alleen echt niet noodzakelijk moeten zijn. Dit is een beetje vergelijkbaar met fabrikanten van medische apparatuur die er een driver voor XP bij doen, een paar miljoen marge pakken op zo'n machine, en je vervolgens laten stikken als XP uit support valt. Ook die zijn zeer verwijtbaar bezig en ik spreek dergelijke partijen in mijn dagelijkse praktijk ook op aan, met helaas veel te weinig succes.

[D0phoofd]

Ik vind dat persoonlijk niet zo heel eng. Ik zie dit als een soort natuurlijke selectie.
Als jij als eindverantwoordelijke een dergelijk stuk software (de http management interface) open en bloot aan het internet hangt, dan vraag je er mij part ook om.

Er zijn van die mensen bij die 100% op hun leverancier vertrouwen, waar iets voor te zeggen valt. Je betaalt immers voldoende voor de software. Neemt niet weg dat je blind moet vertouwen op andermans competentie. Iets met gezond verstand.

Even helemaal los daarvan: ik ben zelf een netwerk-man en ben enorm van van KISS principes.
Voor mij ben je gewoon AF als je een router gaat beheren met een HTTP interface.
HTTP is gewoon kut. Zo lek als een zeef en niet betrouwbaar. Meer bloat == grotere attack vector == meer onderhoud == meer downtime.

[Accretion]

Ik vind dat persoonlijk niet zo heel eng. Ik zie dit als een soort natuurlijke selectie.
Als jij als eindverantwoordelijke een dergelijk stuk software (de http management interface) open en bloot aan het internet hangt, dan vraag je er mij part ook om.

Het probleem is dat jij niet van elke website of bedrijf waarmee je contact hebt gehad zeker weet dat ze het wel goed geregeld hebben.

Dus uiteindelijk zijn het jouw gegevens die gestolen en misbruikt worden...

[chup5528]

Nja, als je RESTCONF gebruikt om je IOS-XE spul te beheren moet http secure server ingeschakeld zijn, dus dan is http niet zo kut.

Geeft je natuurlijk nog geen valide reden om t vanaf internet bereikbaar te maken 😋

[Luchtbakker]

Wat ergens ook wel helpt is dat een klein beetje Cisco engineer standaard de HTTP(S) interface standaard uitschakelt en alles via commandbox doet.

Het is gewoon bekend dat je in professionele omgevingen standaard een webinterface uitschakelt als het niet noodzakelijk is.

[blahenazo]

Toen ik in de begin jaren 2000 aan mijn professionele carrière begon. Kwam ik als Middleware beheerder nog meer in contact met de netwerk collega's. Ik meen mij te herinneren als er toendertijd geen Cisco opstond dat je het bijna niet binnenkreeg in het DC.

[CyberTijn]

Die tijden zijn gelukkig veranderd. Cisco heeft heel veel marktaandeel verloren de afgelopen jaren. Inmiddels zijn er genoeg andere partijen die vergelijkbare oplossingen bieden voor een fractie van de prijs die Cisco vraagt voor zijn hardware, software, en bijbehorende licenties & support.

[JackBol]

Fractie van de prijs? Ik hoop niet dat je Ubiquiti of zo bedoelt, want alles wat kwalitatief vergelijkbaar is (HP, Arista, Juniper, etc) is net zo duur.

[BvdW1978]

Waar zit 'm die kwaliteit dan precies in? Ik loop nu al decennia mee en Cisco is nou niet bepaald brandschoon als het aankomt op kritieke bugs en security-issues. En wat mij nog het allermeest verbaast: je moet een supportcontract hebben voor security patches. Dat veroorzaakt een heleboel ellende in de hoek van "refurbished" tweedehands apparatuur. De realiteit is simpelweg dat niet iedereen dit spul nieuw koopt, of er een heel duur supportcontract bij wil hebben enkel en alleen om fixes te mogen downloaden.

[uiltje]

Helaas staat er niet bij over wat voor problemen het gaat. Zo kunnen we niet kijken wat het onderliggende probleem is.

Ik denk wel dat veel van dit soort high performance apparaten nog steeds door talen als C worden bedient. Vaak worden er dan ook nog proprietary manieren gebruikt om bijvoorbeeld geheugen te claimen, en apparaat specifieke bibliotheken. Hierdoor wordt statische code analyse ook nog eens lastig.

Maar goed, voor hetzelfde geld gaat het meer om een configuratie-fout en is bovenstaande niet van toepassing op deze bugs.

[Cybertinus994]

De webserver uitzetten helpt al een hoop. En in mijn wereld is het idd een configfout als je de webinterface aanzet op een dergelijke switch om hem te configureren. Dat gaat gewoon via SSH of NetConf.

[uiltje]

Die webservers zijn natuurlijk ook vaak een C programma. Nginx, Apache etc.

[Roel1966]

Elke keer weer bij het zien van de kop met IOS XE raak ik verward met Apple's IOS maar ik nu begrijp dat het 2 totaal verschillende OSsen zijn. Alleen is mij even niet helemaal duidelijk of het hier dan om specifieke Cisco routers en switches gaat.

[DDX]

Met dank aan Apple, cisco was iets eerder

[Roel1966]

Ja dat had ik al vanuit een andere reactie begrepen maar dit sowieso ook dan IOS XE is met dan XE erachter.

[Liquidmetalcoat]

maar huawei is verboden

hoeveel cisco backdoors en obvious exploits moeten we nog hebben voor we cisco verbieden wegens buitenlandse spionage van een bondgenoot?

[n4m3l355]

Dat is toch wel een vrij boude reactie maar laten we eerst op Huawei ingaan.

Onderhand weten we dat Huawei zich niks van regels aantrekt, ze zijn uiteindelijk niet voor niets op het wereldtoneel nagenoeg verbannen vanwege herhaaldelijk illegaal zaken doen met Iran. We weten ook dat de gehele top onderdeel maakt van de de Chinese Politburo op hoog niveau inclusief de huidige CEO en diens dochter. Dezelfde overheid die op dit moment bekend staat voor de meeste IP theft online globally. Dezelfde overheid die ook bedrijven gewoon hun wil oplegt zo niet hun de grond indrukt (zoals we nu zien met Alibaba waar de CEO vervangen is door iemand die wel gesteld is binnen de Partij).

Laten we ook niet vergeten dat Huawei in het begin geen eigen ontwikkeling deed maar ironisch genoeg gewoon Cisco, 3com enz. 1 op 1 copieerde, vroeger ging zelfs de grap als je een firmware update nodig had, download die van Cisco ipv Huawei aangezien die sneller "released".

Nu is Cisco natuurlijk ook geen lievertje maar in tegenstelling tot Huawei is er nul bewijs dat die direct samenwerkt met de Amerikaanse of welke overheid dan ook. Dat hun hardware misbruikt wordt ook door oa de Amerikaanse overheid is een zekerheid maar dat is toch wel even anders dan Huawei in verschillende vlakken.

Ook werkt Cisco zo niet actief mee om een complete bevolking van het internet af te sluiten, gebruikers te volgen/bespioneren enz. Wederom Huawei wel en niet alleen in China maar ook in landen via de Belt & Road initiative zie je hun hardware ook in andere authoritaire landen voor dezelfde toepassingen.

Maar laten we vooral whatabout... doen met een bedrijf die genocide ondersteund.

[Flaat]

Er is zelfs hard bewijs dat cisco backdoors aanplante bij export routers..

https://arstechnica.com/t...uter-getting-implant/amp/

En dat ze al sinds het begin mee hebben gebouwd aan de chinese firewall laat je ook mooi even links liggen

https://www.eff.org/nl/de...uman-rights-abuses-export

Daarnaast heeft niemand gezegd dat huawei een lieverdje is, alleen dat er flink met twee maten gemeten wordt

[Reactie gewijzigd door Flaat op 23 juli 2024 02:31]

[n4m3l355]

Jou eigen bron laat zien hoe de NSA leveringen onderschept en "upgrade". Dat is toch wel even anders dan Cisco die zelf backdoors inbouwt.

De tweede bron berust op een zaak van Falun Gong vs Cisco, waarbij de uitkomst niet duidelijk is. Dat maakt het niet minder fraai dat Cisco hun hardware verkocht aan de Chinese overheid maar of het daadwerkelijk zover ging zoals Falun Gong aangeeft is niet duidelijk. De Falun Gong practioners zijn niet echt bepaald betrouwbaar.

[Flaat]

Heb je überhaupt wel gelezen of ben je nu expres de boel aan het verdraaien?

"how the agency’s Tailored Access Operations (TAO) unit and other NSA employees intercept servers, routers, and other network gear being shipped to organizations targeted for surveillance and install covert implant firmware onto them before they’re delivered"

[n4m3l355]

Er staat dus in het Nederlands dat de TAO en andere NSA employees hardware van Cisco onderschept alvorens die doorsturen naar het uiteindelijke doe.

Cisco heeft hier zelf niets mee van doen.

[overhyped]

Over die eerste: lees je eigen link even. Dit was de NSA die shipments onderschepte, zonder medeweten van Cisco zelf.

Ik weet dat het populair is om Cisco te bashen, maar kom even met wat actueels en zorg dat je feiten kloppen.

[themadone]

Twee maten valt wel mee, we worden alleen liever afgeluisterd door de Amerikanen dan door de Chinezen.

Denk vooral dat dit te maken heeft met het feit dat er in Amerika geen heropvoedingskampen zijn voor complete bevolkingsgroepen en dat we in Nederland meer op hebben met westerse landen als met dictatoriale regimes die het mileu vernietigen en hun bevolking uitbuiten.

[Yalopa]

Straffe uitspraak, heb je ook bewijs dat deze exploits bewust aanbracht zijn door Cisco voor spionage doeleinden van bondgenoten?

[Liquidmetalcoat]

Dit is een vrij mainstream uitspraak als je een beetje security nieuws volgt, ik zal je wat linkjes sturen, dat deze bewust zijn heb ik geen bewijs voor, dat het te vaak toevallig bij Cisco mis zit is een algemeen bekend feit.

https://www.theregister.c...02/cisco_vulnerabilities/
https://www.engadget.com/...n6gTd4mxK9M9Woi4ByLZppQcB

Waarvan dus een gaat over een default SSH key in cisco firmware! Je hoeft niet een beetje netwerk security te kennen om te weten dat dit echt een absolute blunder is en eigenlijk niet toevallig fout kan zitten.

[Reactie gewijzigd door Liquidmetalcoat op 23 juli 2024 02:31]

[Yalopa]

Dit is een blunder die helaas veel voorkomt, maar geen bewijs dat het moedwillig gebeurt met als doel spionage.

Ook een mainstream uitspraak is geen bewijs, het is niet meer dan een populaire uitspraak. Zoals je zelf al aangeeft, hier is geen bewijs van.

[uiltje]

"Never attribute to malice that which is adequately explained by stupidity". Zoiets zat ook in het Covid-server gedeelte waar een wachtwoord was toegevoegd in de Open Source code van het project.

Ik zit al 25 jaar in de security ondertussen en ben me er compleet van bewust dat de gemiddelde kennis niet al te hoog is en dat mensen zichzelf graag overschatten. Ik kom continue blunders tegen van dit niveau. Dus ik weet niet helemaal in welke wereld jij leeft...

[sircampalot]

5985 vulnerabilities vs 1785

Vast niet allemaal in hun routers, maar het geeft wel te denken.
Daarbij heeft de VS ook verregaande mogelijkheden middels de patriot act om data te eisen van bedrijven.

Het is natuurlijk uiterst moeilijk om te bewijzen dat een 'foutje' in software geen foutje is, maar een moedwillige actie.

[Reactie gewijzigd door sircampalot op 23 juli 2024 02:31]

[Yalopa]

Toegegeven, geen klein aantal, maar opnieuw geen bewijs dat Cisco ze er moedwillig insteekt.

[sircampalot]

Een foutje of opzet, dat verschil is nauwelijks te bewijzen.
Helemaal als het om spionage gaat, in dat speelveld is alles stiekem en geheim.

[Fermion]

Natuurlijk wordt er opzettelijke bugs ingebracht sinds commerciële software wordt ontwikkeld. Alleen de een wet het beter te verbergen dan de ander.

[DavidThijs]

"opzettelijke bugs ingebracht"

Zijn dar dan ontevreden medewerkers of spionnen van de competitie? Bugs lijken me vooral iets natuurlijk, eigen aan de mens.

[Reactie gewijzigd door DavidThijs op 23 juli 2024 02:31]