CVE-2018-0147
Cisco Secure Access Control System Java Deserialization Vulnerability
Beschreibung
CVE-2018-0147 ist eine kritische Insecure-Deserialization-Schwachstelle im Cisco Secure Access Control System (ACS), die es einem nicht authentifizierten entfernten Angreifer ermöglicht, beliebige Befehle auf dem betroffenen System über speziell präparierte Java-Deserialisierungs-Payloads auszuführen. Die Schwachstelle besteht, weil Cisco Secure ACS benutzerübergebene Inhalte unsachgemäß deserialisiert, wodurch Remote Code Execution mit den Berechtigungen der Anwendung ermöglicht wird. Die CISA hat CVE-2018-0147 aufgrund bestätigter aktiver Ausnutzung in den KEV-Katalog aufgenommen. Mit einem EPSS-Score von 4,0 % (94,1. Perzentile) stellt diese Schwachstelle ein bedeutendes Risiko für Organisationen dar, die ungepatchte Cisco Secure ACS-Deployments betreiben.
KEV-Informationen
CVSS-Score
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:HIm Rechner öffnenCWEs
Betroffene Produkte
| Hersteller | Produkt | Version |
|---|---|---|
| cisco | secure access control system | 5.2\(0.3\) |
Mehrere CVSS-Bewertungen
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
Referenzen
- http://www.securityfocus.com/bid/103328(Broken Link, Third Party Advisory, VDB Entry)
- http://www.securitytracker.com/id/1040463(Third Party Advisory, VDB Entry)
- https://tools.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-20180307-acs2(Vendor Advisory)
- https://www.cisa.gov/known-exploited-vulnerabilities-catalog?field_cve=CVE-2018-0147(US Government Resource)
Schwachstellentyp
CWE-502: Deserialization of Untrusted Data
CWE-502 beschreibt eine Schwachstelle, bei der eine Anwendung nicht vertrauenswürdige Daten deserialisiert, ohne ausreichend zu überprüfen, ob die resultierenden Daten gültig und sicher sind. Bei CVE-2018-0147 deserialisiert Cisco Secure ACS Java-Objekte aus Benutzereingaben ohne ordnungsgemäße Validierung, wodurch ein Angreifer bösartige serialisierte Objekte übermitteln kann, die bei der Deserialisierung beliebige Befehle auf dem Server ausführen.
Weitere Informationen: CWE-502 — Deserialization of Untrusted Data
Auswirkungsanalyse
CVE-2018-0147 ermöglicht nicht authentifizierte Remote Code Execution auf dem Cisco Secure Access Control System, einem zentralen Authentication-, Authorization- und Accounting-Server (AAA), der zur Verwaltung von Netzwerkzugriffsrichtlinien in Unternehmensumgebungen eingesetzt wird. Die Kompromittierung einer Cisco Secure ACS-Instanz kann Angreifern die Kontrolle über die gesamte Netzwerkzugangskontrollinfrastruktur der Organisation geben, einschließlich der Möglichkeit, unautorisierte Zugriffsrichtlinien zu erstellen, Netzwerkauthentifizierungsanforderungen zu umgehen und sich persistenten Zugang zu allen vom ACS verwalteten Netzwerkressourcen zu gewähren. Da der ACS die Authentifizierung für Netzwerkgeräte wie Router, Switches, Firewalls und VPN-Konzentratoren verwaltet, kann ein kompromittierter ACS als Generalschlüssel zur gesamten Netzwerkinfrastruktur dienen. Der EPSS-Score von 4,0 % (94,1. Perzentile) zeigt signifikante Ausnutzungsaktivität an.
Exploit-Reifegrad
CVE-2018-0147 wird aktiv in der freien Wildbahn ausgenutzt, wie die Aufnahme in den CISA-KEV-Katalog bestätigt. Java-Deserialisierungs-Schwachstellen sind eine gut verstandene Angriffsklasse mit ausgereiftem Tooling und öffentlichen Exploit-Frameworks wie ysoserial, die Deserialisierungs-Payloads für verschiedene Java-Anwendungsserver generieren können. Der EPSS-Score von 4,0 % (94,1. Perzentile) spiegelt bedeutende Ausnutzungsaktivität wider. Der hohe strategische Wert von AAA-Infrastruktur macht Cisco Secure ACS zu einem besonders attraktiven Ziel für fortgeschrittene Bedrohungsakteure, die persistenten Netzwerkzugang anstreben.
Behebung
- Cisco-Sicherheitspatches anwenden: Aktualisieren Sie Cisco Secure ACS umgehend auf die im Cisco Security Advisory cisco-sa-20180307-acs2 angegebene Version.
- Migration bei End-of-Life: Falls Cisco Secure ACS das End-of-Life erreicht hat, migrieren Sie zur Cisco Identity Services Engine (ISE), dem Nachfolgeprodukt mit aktiven Sicherheitsupdates.
- Netzwerkzugang einschränken: Beschränken Sie den Netzwerkzugang zu den Cisco Secure ACS-Verwaltungs- und Dienstschnittstellen auf vertrauenswürdige Managementnetzwerke.
- Konfiguration auditieren: Überprüfen Sie die Cisco Secure ACS-Konfiguration auf unautorisierte Zugriffsrichtlinien, unerwartete Administratorkonten oder geänderte Authentifizierungsregeln, die auf eine frühere Ausnutzung hindeuten könnten.
- Zugriffsprotokolle prüfen: Überprüfen Sie Netzwerkzugriffsprotokolle und AAA-Accounting-Aufzeichnungen auf anomale Authentifizierungsereignisse, unautorisierte Netzwerkzugangsberechtigungen oder verdächtige administrative Aktivitäten.
Technische Details
CVE-2018-0147 ist eine Java-Deserialisierungs-Schwachstelle (CWE-502) im Cisco Secure Access Control System. Die Schwachstelle besteht, weil die Anwendung Java-Objekte aus Benutzereingaben akzeptiert und deserialisiert, ohne diese angemessen zu validieren. Ein nicht authentifizierter entfernter Angreifer kann diese Schwachstelle ausnutzen, indem er ein speziell präpariertes serialisiertes Java-Objekt an den verwundbaren Dienst sendet. Wenn die ACS-Anwendung dieses Objekt deserialisiert, löst es die Ausführung beliebigen Codes auf dem zugrundeliegenden Betriebssystem mit den Berechtigungen des Anwendungsprozesses aus. Java-Deserialisierungsangriffe nutzen das Verhalten der Java-ObjectInputStream-Klasse, die bei der Deserialisierung beliebige Objekte instanziieren kann, deren Lifecycle-Methoden zur Befehlsausführung verkettet werden können. Cisco Secure ACS ist ein RADIUS- und TACACS+-Server für zentralisiertes AAA in Unternehmensnetzwerken und damit eine kritische Infrastrukturkomponente.
Häufig gestellte Fragen
Wird CVE-2018-0147 aktiv ausgenutzt?
Ja, CVE-2018-0147 wird aktiv in der freien Wildbahn ausgenutzt und ist im CISA-KEV-Katalog gelistet. Der EPSS-Score von 4,0 % (94,1. Perzentile) bestätigt bedeutende Ausnutzungsaktivität. Java-Deserialisierungsangriffe sind mit ausgereiftem Tooling gut verstanden, was die Ausnutzung für versierte Angreifer unkompliziert macht.
Welche Produkte sind von CVE-2018-0147 betroffen?
CVE-2018-0147 betrifft das Cisco Secure Access Control System (ACS). Die Schwachstelle liegt in der Java-Deserialisierungsverarbeitung der Anwendung. Konsultieren Sie Cisco Security Advisory cisco-sa-20180307-acs2 für spezifische betroffene Versionsinformationen.
Wie behebe ich CVE-2018-0147?
Wenden Sie den Cisco-Sicherheitspatch gemäß cisco-sa-20180307-acs2 an. Falls Cisco Secure ACS das End-of-Life erreicht hat, migrieren Sie zur Cisco Identity Services Engine (ISE). Beschränken Sie den Netzwerkzugang zu den ACS-Verwaltungsschnittstellen auf vertrauenswürdige Netzwerke.
Wie schwerwiegend ist CVE-2018-0147?
CVE-2018-0147 wird als CRITICAL eingestuft, da es nicht authentifizierte Remote Code Execution auf einem zentralen Authentication-, Authorization- und Accounting-Server ermöglicht. Der EPSS-Score von 4,0 % (94,1. Perzentile) zeigt signifikante Ausnutzung an. Die Kompromittierung von AAA-Infrastruktur gibt Angreifern die Möglichkeit, Netzwerkzugriffsrichtlinien für alle verwalteten Netzwerkgeräte zu kontrollieren und damit effektiv einen Generalschlüssel zum Netzwerk der Organisation zu erlangen.
Hilfe beim Schwachstellenmanagement?
Unsere Sicherheitsexperten helfen Ihnen bei der Priorisierung und Behebung von Schwachstellen.