Cisco IOS XE Web UI (CVE-2023-20198)
CVE-2023-20198CWE-420OWASP A05:2021CVSS 10.0Aktualisiert 29. August 20261 Min. Lesezeit
CVE-2023-20198 ist eine Schwachstelle in der Web-Verwaltungsoberfläche von Cisco IOS XE, mit der jeder, der die Oberfläche erreichen konnte, ein Konto mit den höchsten Rechten anlegen konnte. Die Bewertung liegt bei 10.0. Binnen Tagen trugen zehntausende Geräte ein Implantat. Die eigentliche Ursache war nicht nur der Fehler, sondern dass eine Verwaltungsoberfläche überhaupt am Internet hing.
- Betroffen
- Cisco IOS XE mit aktivierter HTTP- oder HTTPS-Serverfunktion, erreichbar aus einem nicht vertrauenswürdigen Netz
- Gepatcht in
- Die festen Releases aus dem Cisco-Advisory; als Zwischenmaßnahme HTTP- und HTTPS-Server abschalten
- Aktiv ausgenutzt
- ja
Im Oktober 2023 zeigte sich, dass Angreifer in großem Stil Konten auf Cisco-Routern und -Switches anlegten. Sie mussten kein Passwort raten und keine Schwachstellen verketten. Die Verwaltungsoberfläche erledigte es für sie.
Was ist CVE-2023-20198
IOS XE hat eine Weboberfläche für die Verwaltung. Durch eine besonders aufgebaute Anfrage konnte ein nicht authentifizierter Besucher ein lokales Konto mit der höchsten Rechtestufe anlegen. Ab diesem Moment war er Administrator des Geräts.
In der Praxis wurde dieses Konto sofort genutzt, um ein Implantat zu installieren, mit dem der Angreifer weiterhin Befehle ausführen konnte, auch nach einem Neustart der Weboberfläche.
Warum das vor allem eine Lektion über Exposition ist
Der Fehler war schwerwiegend, doch das Ausmaß verursachte etwas anderes: Zehntausende Geräte hatten ihre Verwaltungsoberfläche im offenen Internet. Eine Verwaltungsoberfläche gehört in ein Managementnetz, nicht vor die ganze Welt. Genau das beschreibt Security Misconfiguration.
Wäre die Oberfläche nur intern erreichbar gewesen, wäre dieselbe Schwachstelle ein Problem für den gewesen, der schon drin war, nicht für jeden mit einer Internetverbindung.
Was jetzt zu tun ist
- Schalten Sie die HTTP- und HTTPS-Serverfunktion auf Geräten ab, die sie nicht brauchen, und beschränken Sie sie sonst auf ein Managementnetz.
- Bringen Sie die Geräte auf die festen Releases aus dem Cisco-Advisory.
- Prüfen Sie die Konfiguration auf Konten, die niemand erklären kann, und entfernen Sie sie nach der Untersuchung, nicht davor.
- Inventarisieren Sie, welche Verwaltungsoberflächen Ihrer Organisation aus dem Internet erreichbar sind. Solche Exposition ist meist der erste Befund in einem Penetrationstest.
Quellen
Häufige Fragen
Was ist hier genau der Fehler?
Die Weboberfläche akzeptierte eine Anfrage, die die normale Zugriffskontrolle nicht passierte, und legte daraufhin ein Konto mit der höchsten Rechtestufe an. Ein Passwort war dafür nicht nötig.
Warum nennen Sie das eine Fehlkonfiguration?
Die Schwachstelle steckte in der Software, aber die Angriffsfläche entstand dadurch, dass eine Verwaltungsoberfläche aus dem Internet erreichbar war. Cisco rät seit Jahren davon ab.
Wie sehe ich, ob ein Gerät betroffen ist?
Prüfen Sie auf Konten, die Sie nicht selbst angelegt haben, und auf ungewöhnliche lokale Benutzer in der Konfiguration. Cisco veröffentlichte zudem eine Anfrage, mit der sich das Implantat nachweisen lässt.
Verwandte Artikel
- CVEsCWE-77A03:2021PAN-OS GlobalProtect (CVE-2024-3400)CVE-2024-3400 erklärt: wie eine Befehlsinjektion im GlobalProtect-Gateway von PAN-OS Angreifern Root-Rechte auf der Firewall verschaffte.
- SchwachstellenCWE-287A07:2021Broken AuthenticationBroken Authentication erklärt: wie Angreifer über Brute Force, geleakte Passwörter und vorhersagbare Session-Tokens Konten übernehmen und was dagegen hilft.
- SchwachstellenCWE-94A03:2021Remote Code Execution (RCE)Remote Code Execution (RCE) erklärt: wie Angreifer über ungefilterte Eingaben eigene Befehle oder Code auf Ihrem Server ausführen und wie Sie es verhindern.
- SchwachstellenCWE-16A05:2021Security MisconfigurationSecurity Misconfiguration erklärt: wie Standardpasswörter, Debug-Modi und offene Cloud-Buckets Angreifern Zugang geben, und wie Sie sich schützen.