CVE-2022-20821
Cisco IOS XR Open Port Vulnerability
Beschreibung
CVE-2022-20821 ist eine Schwachstelle in der Cisco IOS XR-Software, bei der die Health-Check-Funktion bei Aktivierung standardmäßig TCP-Port 6379 öffnet und eine Redis-Instanz für nicht authentifizierten Fernzugriff freigibt. Ein Angreifer kann sich mit dem offenen Redis-Port innerhalb des NOSi-Containers verbinden und potenziell Daten lesen oder ändern, in das Container-Dateisystem schreiben oder auf die laufende Redis-Instanz zugreifen. CISA hat CVE-2022-20821 in den KEV-Katalog aufgenommen, und das EPSS-Perzentil von 95,3 % weist auf eine sehr hohe Ausnutzungsaktivität hin.
KEV-Informationen
CVSS-Score
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:L/A:NIm Rechner öffnenBetroffene Produkte
| Hersteller | Produkt | Version |
|---|---|---|
| cisco | ios xr | - |
Mehrere CVSS-Bewertungen
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:L/A:N
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:L/A:N
Referenzen
Schwachstellentyp
CWE-200: Offenlegung sensibler Informationen an nicht autorisierte Akteure
CWE-200 beschreibt Situationen, in denen ein Produkt sensible Informationen oder Ressourcen an nicht autorisierte Akteure freigibt. Bei CVE-2022-20821 exponiert die Cisco-IOS-XR-Health-Check-Funktion versehentlich eine Redis-Datenbankinstanz auf TCP-Port 6379, die nicht authentifizierten entfernten Angreifern den Zugriff auf den Redis-Datenspeicher innerhalb des NOSi-Containers ohne jegliche Anmeldedaten ermöglicht.
Weitere Informationen: CWE-200 — Exposure of Sensitive Information to an Unauthorized Actor
Auswirkungsanalyse
CVE-2022-20821 gibt eine Redis-Instanz auf Cisco-IOS-XR-Routern für nicht authentifizierten Fernzugriff frei, was sowohl die Vertraulichkeit als auch die Integrität beeinträchtigen kann. Ein Angreifer mit Netzwerkzugang zu TCP-Port 6379 kann alle in der Redis-Instanz gespeicherten Daten lesen, einschließlich sensibler Health-Check-Daten und Netzwerkkonfigurationsinformationen. Der Angreifer kann auch beliebige Daten in den Redis-Speicher schreiben und potenziell Redis-Befehle nutzen, um Dateien in das Container-Dateisystem zu schreiben. Die Schwachstelle erfordert keine Authentifizierung oder Benutzerinteraktion und ist über das Netzwerk ausnutzbar. Das EPSS-Perzentil von 95,3 % belegt eine sehr hohe Ausnutzungsaktivität. CISA hat die aktive Ausnutzung bestätigt und CVE-2022-20821 in den KEV-Katalog aufgenommen.
Exploit-Reifegrad
CISA hat die aktive Ausnutzung von CVE-2022-20821 bestätigt und die Schwachstelle mit einer Behebungsfrist bis zum 13. Juni 2022 in den KEV-Katalog aufgenommen. Das EPSS-Perzentil von 95,3 % deutet auf eine sehr hohe Ausnutzungswahrscheinlichkeit hin. Die Schwachstelle ist einfach ausnutzbar, da lediglich eine Netzwerkverbindung zu TCP-Port 6379 auf einem betroffenen Router erforderlich ist, da die exponierte Redis-Instanz keine Authentifizierung erfordert. Standard-Redis-Befehlszeilentools können zur Interaktion mit der exponierten Instanz verwendet werden, was die Ausnutzungsbarriere extrem niedrig macht.
Behebung
- Wenden Sie Cisco-Sicherheitsupdates an, um die IOS-XR-Software auf eine Version zu aktualisieren, die CVE-2022-20821 behebt, wie vom CISA-KEV-Katalog gefordert.
- Falls die Health-Check-Funktion nicht benötigt wird, deaktivieren Sie sie, um die Öffnung des Redis-Ports zu verhindern.
- Implementieren Sie Zugriffskontrolllisten (ACLs) auf dem Cisco-IOS-XR-Router, um externen Zugriff auf TCP-Port 6379 zu blockieren, sodass nur autorisierte Verwaltungssysteme die Verwaltungsschnittstellen erreichen können.
- Stellen Sie sicher, dass Management-Plane-Schnittstellen auf IOS-XR-Routern nicht im Internet exponiert sind und nur über ein dediziertes Verwaltungsnetzwerk erreichbar sind.
- Überwachen Sie nicht autorisierte Verbindungen zu TCP-Port 6379 auf betroffenen Routern und überprüfen Sie Redis-Protokolle auf Indikatoren unbefugten Zugriffs oder Datenmanipulation.
Technische Details
CVE-2022-20821 wird durch ein Standard-Konfigurationsproblem in der Cisco-IOS-XR-Health-Check-Funktion verursacht. Bei Aktivierung des Health-Checks wird eine Redis-Instanz innerhalb des NOSi-Containers (Network OS Infrastructure) gestartet, die auf TCP-Port 6379 lauscht. Diese Redis-Instanz ist ohne Authentifizierung an alle Netzwerkschnittstellen gebunden, was bedeutet, dass jeder Host, der TCP-Port 6379 auf dem Router erreichen kann, sich über Standard-Redis-Protokollbefehle verbinden kann. Die Schwachstelle wird unter CWE-200 klassifiziert, da die Health-Check-Funktion versehentlich einen internen Datenspeicher für externen, nicht autorisierten Zugriff freigibt. Über die Redis-Schnittstelle kann ein Angreifer Befehle ausführen, um gespeicherte Daten zu lesen, beliebige Schlüssel-Wert-Paare zu setzen und potenziell Redis-Persistenzmechanismen nutzen, um Dateien in das Container-Dateisystem zu schreiben.
Häufig gestellte Fragen
Wird CVE-2022-20821 aktiv ausgenutzt?
Ja, CVE-2022-20821 wurde aktiv ausgenutzt. CISA hat die aktive Ausnutzung bestätigt und die Schwachstelle mit einer Behebungsfrist bis zum 13. Juni 2022 in den KEV-Katalog aufgenommen. Das EPSS-Perzentil von 95,3 % deutet auf eine sehr hohe Ausnutzungswahrscheinlichkeit hin.
Welche Produkte sind von CVE-2022-20821 betroffen?
CVE-2022-20821 betrifft Cisco IOS XR-Software bei aktivierter Health-Check-Funktion. Dies umfasst Cisco-Router mit IOS XR, bei denen die Health-Check-Funktionalität aktiviert ist, die TCP-Port 6379 öffnet und eine Redis-Instanz exponiert.
Wie behebe ich CVE-2022-20821?
Wenden Sie Cisco-Sicherheitsupdates für IOS XR an. Falls die Health-Check-Funktion nicht benötigt wird, deaktivieren Sie sie. Implementieren Sie zusätzlich ACLs, um externen Zugriff auf TCP-Port 6379 zu blockieren. Details finden Sie im Abschnitt Behebung.
Wie schwerwiegend ist CVE-2022-20821?
CVE-2022-20821 exponiert eine nicht authentifizierte Redis-Instanz auf Netzwerk-Routing-Equipment mit einem EPSS-Perzentil von 95,3 %. Obwohl die direkte Auswirkung auf den NOSi-Container beschränkt ist, stellt der nicht autorisierte Zugriff auf eine Redis-Instanz auf kritischer Netzwerkinfrastruktur ein erhebliches Risiko für Datenvertraulichkeit und -integrität dar.
Hilfe beim Schwachstellenmanagement?
Unsere Sicherheitsexperten helfen Ihnen bei der Priorisierung und Behebung von Schwachstellen.