CVE-2016-6367
Cisco Adaptive Security Appliance (ASA) CLI Remote Code Execution Vulnerability
Beschreibung
CVE-2016-6367 ist eine Schwachstelle im Befehlszeileninterface-Parser (CLI) der Cisco-ASA-Software, die es einem authentifizierten lokalen Angreifer ermöglicht, einen Denial-of-Service-Zustand (DoS) zu erzeugen oder potenziell beliebigen Code auszuführen. Die Schwachstelle besteht, weil der CLI-Parser Eingaben nicht ordnungsgemäß validiert. Diese Schwachstelle war ebenfalls Teil des Shadow-Brokers-Leaks und wurde mit dem EPICBANANA-Exploit-Tool der Equation Group in Verbindung gebracht. CISA hat CVE-2016-6367 in den KEV-Katalog aufgenommen, und das EPSS-Perzentil von 95,8 % weist auf eine sehr hohe Ausnutzungsaktivität hin.
KEV-Informationen
CVSS-Score
CVSS:3.1/AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:HIm Rechner öffnenBetroffene Produkte
| Hersteller | Produkt | Version |
|---|---|---|
| cisco | adaptive security appliance software | >= 7.2.0, < 8.4\(3\); >= 8.5, < 9.0\(1\) |
Mehrere CVSS-Bewertungen
CVSS:3.1/AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H
CVSS:3.1/AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H
Referenzen
- http://blogs.cisco.com/security/shadow-brokers(Exploit, Press/Media Coverage, Vendor Advisory)
- http://tools.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-20160817-asa-cli(Vendor Advisory)
- http://tools.cisco.com/security/center/viewErp.x?alertId=ERP-56516(Vendor Advisory)
- http://www.securityfocus.com/bid/92520(Broken Link, Third Party Advisory, VDB Entry)
- http://www.securitytracker.com/id/1036636(Broken Link, Third Party Advisory, VDB Entry)
- https://github.com/offensive-security/exploit-database-bin-sploits/raw/master/sploits/40271.zip(Broken Link, Exploit)
- https://www.exploit-db.com/exploits/40271/(Third Party Advisory, VDB Entry)
- https://www.cisa.gov/known-exploited-vulnerabilities-catalog?field_cve=CVE-2016-6367(US Government Resource)
Schwachstellentyp
CWE-20: Unsachgemäße Eingabevalidierung
CWE-20 beschreibt eine Schwachstelle, bei der ein Produkt Eingaben empfängt, diese jedoch nicht oder fehlerhaft validiert. Bei CVE-2016-6367 versäumt es der Cisco-ASA-CLI-Parser, benutzerseitige Eingaben bei bestimmten Befehlen ordnungsgemäß zu validieren, wodurch ein authentifizierter lokaler Angreifer CLI-Eingaben erstellen kann, die einen Denial-of-Service verursachen oder potenziell Code-Ausführung ermöglichen.
Weitere Informationen: CWE-20 — Improper Input Validation
Auswirkungsanalyse
CVE-2016-6367 erfordert authentifizierten lokalen Zugang zur Cisco-ASA-Befehlszeile, was den initialen Angriffsvektor im Vergleich zu netzwerkausnutzbaren Schwachstellen einschränkt. Die Auswirkung ist jedoch erheblich, da ASA-Geräte kritische Sicherheitsinfrastruktur darstellen. Ein Angreifer mit CLI-Zugang kann das Gerät zum Absturz bringen (was einen Netzwerkausfall für allen durch die Firewall fließenden Datenverkehr verursacht) oder potenziell Code-Ausführung erreichen, die die Änderung von Firewall-Regeln, die Erstellung von Backdoor-Zugängen und das Abfangen von Netzwerkverkehr ermöglichen würde. Das EPSS-Perzentil von 95,8 % belegt eine sehr hohe Ausnutzungsaktivität. In der Praxis wird diese Schwachstelle häufig als Teil einer Post-Exploitation-Kette eingesetzt, wobei ein Angreifer, der bereits über eine andere Schwachstelle (wie CVE-2016-6366) Zugang zur ASA erlangt hat, CVE-2016-6367 zur Rechteausweitung oder Etablierung persistenten Zugangs nutzt.
Exploit-Reifegrad
CISA hat die aktive Ausnutzung von CVE-2016-6367 bestätigt und die Schwachstelle mit einer Behebungsfrist bis zum 14. Juni 2022 in den KEV-Katalog aufgenommen. Das EPSS-Perzentil von 95,8 % deutet auf eine sehr hohe Ausnutzungswahrscheinlichkeit hin. Diese Schwachstelle wurde mit dem EPICBANANA-Exploit-Tool aus dem Equation-Group-Toolset in Verbindung gebracht, das von den Shadow Brokers im August 2016 veröffentlicht wurde. Öffentlicher Exploit-Code ist seit dem Leak verfügbar, und die Schwachstelle wurde in gezielten Angriffen gegen Cisco-ASA-Geräte eingesetzt, häufig in Kombination mit der SNMP-basierten Schwachstelle CVE-2016-6366 (EXTRABACON) für eine vollständige Kompromittierung der Firewall-Appliance.
Behebung
- Wenden Sie Cisco-Sicherheitsupdates an, um die ASA-Software auf eine Version zu aktualisieren, die CVE-2016-6367 behebt, wie vom CISA-KEV-Katalog gefordert.
- Beschränken Sie den CLI-Zugang auf autorisierte Administratoren mit starker Authentifizierung und implementieren Sie rollenbasierte Zugriffskontrolle, um die verfügbaren CLI-Befehle für jeden Administrator einzuschränken.
- Aktivieren Sie die Befehlsautorisierung (aaa authorization command), um die verfügbaren CLI-Befehle für jede Berechtigungsstufe zu prüfen und einzuschränken.
- Überwachen Sie ASA-Systemprotokolle auf unerwartete CLI-Befehlsausführungen, Geräteabstürze oder ungewöhnliche administrative Sitzungsaktivitäten.
- Implementieren Sie Multi-Faktor-Authentifizierung für alle administrativen Zugriffe auf ASA-Geräte und stellen Sie sicher, dass Verwaltungsschnittstellen nur über ein dediziertes, segmentiertes Verwaltungsnetzwerk erreichbar sind.
Technische Details
CVE-2016-6367 befindet sich im CLI-Parser der Cisco-ASA-Software. Der Parser validiert die Länge und den Inhalt von Eingaben bei bestimmten CLI-Befehlen nicht ordnungsgemäß, was unter CWE-20 (Unsachgemäße Eingabevalidierung) klassifiziert wird. Wenn ein authentifizierter Benutzer mit CLI-Zugang speziell präparierte Befehle eingibt, kann die Eingabeverarbeitungsroutine interne Puffer überlaufen lassen oder nicht behandelte Bedingungen auslösen, die zu einem Geräteabsturz (DoS) oder in einigen Fällen zur beliebigen Code-Ausführung führen. Der Angriff erfordert lokalen CLI-Zugang, was bedeutet, dass der Angreifer entweder direkten Konsolenzugang oder eine authentifizierte SSH/Telnet-Sitzung zur ASA-Verwaltungsschnittstelle haben muss. Im Equation-Group-Toolset nutzte der EPICBANANA-Exploit diese Schwachstelle nach Erlangung des Erstzugangs durch andere Mittel, um Privilegien zu eskalieren und die ASA-Konfiguration für persistenten Zugang und Datenverkehrsabfang zu modifizieren.
Häufig gestellte Fragen
Wird CVE-2016-6367 aktiv ausgenutzt?
Ja, CVE-2016-6367 wurde in gezielten Angriffen aktiv ausgenutzt. CISA hat die aktive Ausnutzung bestätigt und die Schwachstelle in den KEV-Katalog aufgenommen. Das EPSS-Perzentil von 95,8 % belegt eine sehr hohe Ausnutzungsaktivität, angetrieben durch das EPICBANANA-Exploit-Tool aus dem Equation-Group-Leak.
Welche Produkte sind von CVE-2016-6367 betroffen?
CVE-2016-6367 betrifft Cisco Adaptive Security Appliance (ASA) Software auf mehreren Hardwareplattformen, einschließlich der ASA 5500-Serie und ASA 5500-X-Serie mit verwundbaren Softwareversionen.
Wie behebe ich CVE-2016-6367?
Wenden Sie das Cisco-Sicherheitsupdate für die betroffene ASA-Softwareversion an. Beschränken Sie zusätzlich den CLI-Zugang, implementieren Sie Befehlsautorisierung und setzen Sie Multi-Faktor-Authentifizierung für administrativen Zugang ein. Details finden Sie im Abschnitt Behebung.
Wie schwerwiegend ist CVE-2016-6367?
CVE-2016-6367 ist eine CLI-Eingabevalidierungs-Schwachstelle mit einem EPSS-Perzentil von 95,8 %. Obwohl sie authentifizierten lokalen Zugang erfordert, kann sie Denial-of-Service oder Code-Ausführung auf Unternehmens-Firewall-Geräten verursachen. Ihre Verwendung in Kombination mit CVE-2016-6366 (EXTRABACON) im Equation-Group-Toolset demonstriert ihre Rolle in vollständigen Firewall-Kompromittierungsszenarien.
Hilfe beim Schwachstellenmanagement?
Unsere Sicherheitsexperten helfen Ihnen bei der Priorisierung und Behebung von Schwachstellen.