Mới đây các nhà nghiên cứu đã phát hiện có 5 lỗ hổng bảo mật trong một số thiết bị mạng do Cisco sản xuất. Hacker có thể lợi dụng những lỗ hổng này để từ đó chiếm quyền kiểm soát các mạng doanh nghiệp sử dụng sản phẩm Cisco.
Trong số 5 lỗi trên, có 4 lỗi về sự cố thực thi mã từ xa ảnh hưởng đến Router, Switch và IP camera, lỗi thứ 5 về sự cố từ chối dịch vụ (DoS) ảnh hưởng đến điện thoại IP.
*Điện thoại IP (IP phone): điện thoại được kết nối với internet hoặc mạng wifi.
Được đặt tên chung là ‘CDPwn’, cả 5 lỗi đều nằm trong cách thức thực hiện CDP (Cisco Discovery Protocol – Giao thức Khám phá của Cisco). CDP được bật theo mặc định trên hầu như tất cả các thiết bị của Cisco và KHÔNG THỂ BỊ TẮT.
CDP là một giao thức quản trị hoạt động ở tầng liên kết dữ liệu của IP (Giao thức Internet – Internet Protocol). Nó được thiết kế để cho phép các thiết bị Cisco khám phá thông tin về các thiết bị cùng hãng trong cùng hệ thống mạng.
Theo báo cáo mà nhóm nghiên cứu Armis chia sẻ, việc triển khai CDP cơ bản chứa lỗi tràn bộ nhớ đệm và lỗi định dạng chuỗi có thể cho phép kẻ tấn công từ xa trong cùng một mạng chạy mã tùy ý trên các thiết bị Cisco bị ảnh hưởng bằng cách gửi các gói CDP độc hại.
Dưới đây là danh sách các lỗ hổng CDPwn của Cisco:
- Lỗi tràn bộ đệm của Cisco NX-OS trong Power Request TLV (type-length-value – sơ đồ mã hóa được sử dụng cho thành phần thông tin tùy chọn trong một giao thức nhất định) (CVE-2020-3119)
- Lỗ hổng Chuỗi định dạng XR của Cisco IOS trong nhiều TLV (CVE-2020-3118)
- Lỗi tràn bộ đệm của điện thoại IP Cisco trong PortID TLV (CVE-2020-3111)
- Lỗi tràn Heap trên IP camera của Cisco trong DeviceID TLV (CVE-2020-3110)
- Lỗi gây tiêu tốn tài nguyên cho Cisco FXOS, IOS XR NX-OS trong Address TLV (CVE-2020-3120)
Vì CDP là giao thức liên kết dữ liệu tầng 2 và nó không thể vượt qua ranh giới của mạng LAN nên trước tiên kẻ tấn công cần phải nằm trong cùng một network để tận dụng các lỗ hổng CDPwn.
Sau khi bước đầu xâm nhập vào mạng mục tiêu bằng các lỗ hổng riêng lẻ, kẻ tấn công có thể khai thác các CDPwn, nhắm vào các switch Cisco trong mạng để phá vỡ phân đoạn mạng và di chuyển ngang hàng sang các mạng khác và nhắm tới các hệ thống và dữ liệu nhạy cảm khác.
Các nhà nghiên cứu cho biết “Chiếm được quyền kiểm soát Switch sẽ có vô số lợi thế. Ví dụ: Switch là nơi theo dõi lưu lượng mạng tốt nhất và thậm chí có thể được sử dụng để khởi động các cuộc tấn công xen giữa (man-in-the-middle) vào traffic của các thiết bị đi qua switch”.
“Kẻ tấn công có thể tìm cách di chuyển qua các segments và lấy quyền truy cập vào các thiết bị như điện thoại IP hay IP camera. Không giống như các thiết bị Switch, các thiết bị này đã chứa những dữ liệu nhạy cảm. Mục tiêu của kẻ tấn công có thể là chiếm quyền điều khiển điện thoại IP hoặc camera IP chứ không cần phải coi nó như một thiết bị trung gian.”
Ngoài ra, lỗ hổng CDPwn cũng cho phép kẻ tấn công:
- Nghe trộm giọng nói và dữ liệu video, theo dõi cuộc gọi và nguồn cấp video từ IP điện thoại và camera, ghi lại các cuộc hội thoại hoặc hình ảnh nhạy cảm.
- Lấy trộm các dữ liệu nhạy cảm của công ty qua các bộ chuyển mạch và bộ định tuyến của mạng công ty.
- Gây hại cho các thiết bị bổ sung bằng cách tận dụng các cuộc tấn công xen giữa để chặn và thay đổi lưu lượng truy cập trên thiết bị chuyển mạch của công ty.
Bên cạnh việc công bố một báo cáo kỹ thuật về các lỗ hổng, nhóm nghiên cứu Armis cũng đã chia sẻ các video giải thích và thuyết minh về chúng.
Sau khi làm việc với các nhà nghiên cứu của Armis trong những tháng vừa rồi để phát triển các bản vá bảo mật, mới đây (5/2/2020) Cisco đã phát hành bản cập nhật phần mềm cho tất cả các sản phẩm bị lỗi.
Mặc dù cũng đã cung cấp một số thông tin hữu ích nhằm giảm thiểu thiệt hại, Cisco vẫn khuyến khích các quản trị viên cài đặt những bản cập nhật phần mềm mới nhất để bảo vệ hệ thông mạng trước phần mềm độc hại và các mối đe dọa trực tuyến mới.
Thêm bình luận