SSH Key ของ Cisco Umbrella อาจทำให้ผู้โจมตีสามารถขโมย Credential ของผู้ดูแลระบบได้

Cisco ได้ออกแพตซ์อัปเดตด้านความปลอดภัยเพื่อแก้ไขช่องโหว่ที่มีความรุนแรงสูงใน Cisco Umbrella Virtual Appliance (VA) ซึ่งทำให้ผู้โจมตีที่ไม่ผ่านการตรวจสอบสิทธิ์สามารถขโมยข้อมูลประจำตัวของผู้ดูแลระบบได้จากระยะไกล

Fraser Hess จาก Pinnacol Assurance พบช่องโหว่ (หมายเลข CVE-2022-20773) ในกลไกการพิสูจน์ตัวตน SSH แบบใช้คีย์ของ Cisco Umbrella VA

Cisco Umbrella ให้บริการด้านความปลอดภัยบนคลาวด์ กับองค์กรกว่า 24,000 แห่ง ในการรักษาความปลอดภัย DNS ต่อการโจมตีจากฟิชชิ่ง มัลแวร์ และแรนซัมแวร์ โดยการตั้งเครื่อง virtual machine ไว้ภายในองค์กรเพื่อช่วยในการทำ DNS Forwarders ที่จะบันทึก เข้ารหัส และรับรองความถูกต้องของข้อมูล DNS

ช่องโหว่นี้เกิดจาก static SSH host key ซึ่งผู้โจมตีสามารถใช้ประโยชน์จากช่องโหว่นี้ด้วยการโจมตีแบบ man-in-the-middle ในการเชื่อมต่อระหว่าง SSH กับ Umbrella VA" Cisco กล่าว

หากโจมตีได้สำเร็จ จะทำให้ผู้โจมตีสามารถเข้าถึง credentials ของผู้ดูแลระบบ เปลี่ยนค่าคอนฟิค หรือ reload VA ได้

ช่องโหว่ดังกล่าวส่งผลกระทบต่อ Cisco Umbrella VA สำหรับ Hyper-V และ VMWare ESXi เวอร์ชันก่อนหน้า 3.3.2

ไม่ส่งผลกระทบต่อการกำหนดค่าเริ่มต้นของ Umbrella VA

Cisco กล่าวว่าบริการ SSH ไม่ได้เปิดใช้งานโดยค่าเริ่มต้นบนเครื่อง virtual machine ภายในองค์กรซึ่งช่วยลดผลกระทบโดยรวมของช่องโหว่ได้อย่างมาก

ในการตรวจสอบว่ามีการเปิดใช้งาน SSH ใน Cisco Umbrella Virtual Appliances หรือไม่ ให้ทำการล็อคอินเข้าสู่คอนโซลไฮเปอร์ไวเซอร์ เข้าสู่โหมด configuration โดยกด CTRL+B และตรวจสอบการกำหนดค่าของ VA โดยใช้คำสั่ง config va show

หากมีการเปิดใช้งาน SSH จะพบคำว่า "SSH access : enabled"

ปัจจุบันยังไม่มีวิธีแก้ปัญหาชั่วคราวเพื่อลดผลกระทบสำหรับช่องโหว่นี้ ดังนั้น Cisco จึงแนะนำให้ลูกค้าอัปเกรดเป็นเวอร์ชันล่าสุด

ทีมแก้ไขปัญหาด้านความปลอดภัยของผลิตภัณฑ์ของ Cisco (PSIRT) ยังกล่าวด้วยว่ายังไม่พบ proof-of-concept exploit สำหรับช่องโหว่นี้ถูกปล่อยออกมาสู่สาธารณะ และยังไม่พบการโจมตีเกิดขึ้นในปัจจุบัน

ในเดือนพฤศจิกายน Cisco ยังได้แก้ไขช่องโหว่ร้ายแรงที่คล้ายกัน (CVE-2021-40119) ซึ่งเกิดจากคีย์ SSH เริ่มต้นในกลไกการตรวจสอบสิทธิ์ SSH แบบใช้คีย์ของ Cisco Policy Suite ซึ่งอาจทำให้ผู้โจมตีที่ไม่ผ่านการตรวจสอบสิทธิ์เข้าสู่ระบบที่ได้รับผลกระทบในฐานะผู้ใช้ที่มีสิทธิ์ Root

ในวันเดียวกันนั้น บริษัทยังได้แก้ไขช่องโหว่ที่สำคัญอีกช่องโหว่ (CVE-2021-34795) ที่เชื่อมโยงกับข้อมูลประจำตัวแบบฮาร์ดโค้ดในบริการ Telnet ของ Cisco Catalyst PON Series Switches ONT ซึ่งทำให้ผู้โจมตีที่ไม่ได้ตรวจสอบสิทธิ์สามารถเข้าสู่ระบบจากระยะไกลโดยใช้บัญชี debugging ด้วยรหัสผ่าน default

ที่มา : bleepingcomputer.