Ranjivosti Cisco Catalyst SD-WAN Manager-a
Dana 27. rujna 2023., Cisco je izdao sigurnosno upozorenje za pet novih ranjivosti u svojim proizvodima Catalyst SD-WAN Manager, pri čemu najkritičniji propust omogućuje neautorizirani udaljeni pristup poslužitelju.
Catalyst SD-WAN Manager for WAN je softver za upravljanje mrežom koji administratorima omogućuje vizualizaciju, implementaciju i upravljanje uređajima na širokopojasnim mrežama (WAN).
Tehnički detalji ključnih ranjivosti popravljenih ovim ažuriranjem:
Kritična ranjivost, označena kao CVE-2023-20252, s ocjenom CVSS 9.8, omogućuje neovlašteni pristup zbog problema s Security Assertion Markup Language (SAML) API.
Cisco u svojoj objavi upozorava da ranjivost u Security Assertion Markup Language (SAML) API Cisco Catalyst SD-WAN Manager-a omogućuje neovlaštenom udaljenom napadaču da stekne neovlašten pristup aplikaciji kao proizvoljni korisnik.
Napadači to mogu iskoristiti slanjem oblikovanih zahtjeva SAML API, generirajući proizvoljne autorizacijske tokene za bezuvjetan pristup. Ovaj propust nosi rizike poput lažnog predstavljanja, neovlaštenog pristupa podacima, modifikacije, brisanja i prekida usluge.
Četiri ranjivosti manje razine rizika:
- CVE-2023-20253 (CVSS 8.4): Neovlašteni povrat konfiguracije zbog ranjivosti CLI-a.
- CVE-2023-20034 (CVSS 7.5): Ranjivost otkrivanja informacija u ElasticSearch kontroli pristupa. Ranjivost se može iskoristiti putem neautoriziranog udaljenog pristupa, ali pristup je ograničen na bazu podataka Elasticsearch s privilegijama korisnika Elasticsearch.
- CVE-2023-20254 (CVSS 7.2): Zaobilaženje autorizacije u sustavu upravljanja sesijama (zahtijeva omogućenu višekorisničku/višetenantnu značajku).
- CVE-2023-20262 (CVSS 5.3): Ranjivost DoS u usluzi SSH-a (utječe samo na pristup SSH-u).
Zahvaćeni proizvodi:
| Verzija | CVE-2023-20252 Kritična razina rizika | CVE-2023-20253 Značajna razina rizika | CVE-2023-20034 Značajna razina rizika | CVE-2023-20254 Značajna razina rizika | CVE-2023-20262 Srednja razina rizika |
| < 20.3 | Nije zahvaćeno. | Migrirati na ispravljeno izdanje. | Migrirati na ispravljeno izdanje. | Migrirati na ispravljeno izdanje. | Migrirati na ispravljeno izdanje. |
| 20.3 | Nije zahvaćeno. | Migrirati na ispravljeno izdanje. | 20.3.4 | Migrirati na ispravljeno izdanje. | 20.3.7 |
| 20.4 | Nije zahvaćeno. | Migrirati na ispravljeno izdanje. | Migrirati na ispravljeno izdanje. | Migrirati na ispravljeno izdanje. | Migrirati na ispravljeno izdanje. |
| 20.5 | Nije zahvaćeno. | Migrirati na ispravljeno izdanje. | Migrirati na ispravljeno izdanje. | Migrirati na ispravljeno izdanje. | Migrirati na ispravljeno izdanje. |
| 20.6 | Nije zahvaćeno. | 20.6.2 | 20.6.1 | 20.6.3.4 | Migrirati na ispravljeno izdanje. |
| 20.7 | Nije zahvaćeno. | 20.7.1 | 20.7.1 | Migrirati na ispravljeno izdanje. | Migrirati na ispravljeno izdanje. |
| 20.8 | Nije zahvaćeno. | 20.8.1 | Nije zahvaćeno. | Migrirati na ispravljeno izdanje. | Migrirati na ispravljeno izdanje.. |
| 20.9 | 20.9.3.4 [1] | 20.9.1 | Nije zahvaćeno. | 20.9.3.2 | 20.9.3 |
| 20.10 | Nije zahvaćeno. | 20.10.1 | Nije zahvaćeno. | 20.10.1.2 | Migrirati na ispravljeno izdanje. |
| 20.11 | Migrirati na ispravljeno izdanje. | 20.11.1 | Nije zahvaćeno. | 20.11.1.2 | 20.11.1 |
| 20.12 | Nije zahvaćeno. | Nije zahvaćeno. | Nije zahvaćeno. | Nije zahvaćeno. | 20.12.1 |
[1] Za CVE-2023-20252, samo su zahvaćena izdanja 20.9.3.2 i 20.11.1.2. Prethodna izdanja u verzijama 20.9 i 20.11 nisu zahvaćena
IOS XE Software, SD-WAN cEdge Routers i SD-WAN vEdge Routers nisu ranjivi.
Catalyst SD-WAN Manager verzija 20.12, najnovije izdanje, sigurna je osim za ranjivost srednje razine rizika koja je ispravljena u verziji 20.12.1.
Preporuke:
U trenutku pisanja obavijesti nema dostupnih privremenih rješenja, jedina preporučena radnja je nadogradnja na ispravljeno izdanje navedeno u tablici iznad.
Više informacija moguće je pročitati na poveznicama u nastavku:
Normativni akti
- Ustav Republike Hrvatske
- Strategija nacionalne sigurnosti
- Zakon o sustavu domovinske sigurnosti
- Zakon o sigurnosno-obavještajnom sustavu RH
- Zakon o tajnosti podataka
- Zakon o informacijskoj sigurnosti
- Uredba o mjerama informacijske sigurnosti
- Nacionalna strategija kibernetičke sigurnosti i Akcijski plan za provedbu Nacionalne strategije kibernetičke sigurnosti
- Zakon o provedbi Uredbe (EU) 2019/881 Europskog parlamenta i Vijeća od 17. travnja 2019. (Zakon o provedbi kibernetičke sigurnosne certifikacije)
- Zakon o kibernetičkoj sigurnosti
- Odluka o provedbi Odluke br. 1104/2011/EU Europskog parlamenta i Vijeća od 25. listopada 2011. o pravilima za pristup javno reguliranoj usluzi koju pruža globalni navigacijski satelitski sustav uspostavljen u sklopu programa Galileo
- Smjernice za postupanje s neklasificiranim podacima