Компания Cisco обнаружила критическую ошибку в одном из компонентов программы IOS XE, устанавливаемой на несколько линеек промышленных роутеров компании. Баг в контейнере виртуальной службы REST API допускает обход системы авторизации и позволяет злоумышленнику выполнить ряд действий с привилегиями текущего пользователя. Производитель залатал недостаток, выпустив апдейт для уязвимого модуля и обновленную версию основного приложения.

Как сообщает сайт Cisco, проблема связана с некорректной проверкой входящих запросов службой авторизации REST API. Это позволяет киберпреступнику отправить на целевое устройство ряд вредоносных HTTP-пакетов и получить токен сеанса текущего пользователя. Злоумышленник может использовать этот идентификатор для обхода механизма проверки входа и выполнения привилегированных действий через интерфейс виртуального сервиса IOS XE.

Баг, зарегистрированный как CVE-2019-12643, получил максимальный рейтинг угрозы — 10 баллов по шкале CVSS. По словам производителя, уязвимость затрагивает промышленные маршрутизаторы Cisco серии 4000 и 1000V, а также облачные сервисы и виртуальные роутеры, предлагаемые компанией.

Как указывают специалисты, баг проявляется лишь в системах с включенной службой виртуальных контейнеров REST API, которая предназначена для создания изолированной среды для запуска специализированных приложений. Вендор отмечает, что по умолчанию этот модуль деактивирован. Кроме того, реальная угроза безопасности устройства существует только при перехвате токена администратора (пользователь с правами не ниже 15-го уровня), авторизованного через уязвимый интерфейс.

Cisco уже выпустила обновления для IOS XE

Компания выпустила обновления как для непосредственно REST API, так и для IOS XE, в рамках которой он запускается. При установке апдейта основного приложения уязвимая служба виртуальных контейнеров отключится до загрузки заплатки. Вендор рекомендует всем пользователям REST API срочно обновить решение до версии 16.09.03.

В июне этого года специалисты Cisco исправили в IOS XE опасную уязвимость подделки межсайтового запроса. Баг позволял злоумышленнику отправить на устройство вредоносный HTTP-запрос и выполнить его с правами текущего пользователя. Если киберпреступнику удавалось получить root-привилегии, он мог изменить ключевые параметры работы маршрутизатора.

Категории: Главное, Кибероборона, Уязвимости