کشف آسیب‌پذیری روز صفر توسط شرکت Cisco از کدهای بهره‌بردار NSA

شرکت Cisco آسیب‌پذیری روز صفر دیگری را از کدهای بهره‌بردار^(۱) NSA کشف کرد

فروشنده تجهیزات شبکه Cisco در نهایت به مشتریان خود نسبت به یک آسیب‌پذیری دیگر روزصفر هشدار داد. این آسیب‌پذیری در یک گنجینه مربوط به کدهای بهره‌بردار مورد استفاده NSA کشف شد که توسط گروهی به نام “The Shadow Brokers” به بیرون درز کرده است.

ماه گذشته، Shadow Brokers کدهای بهره‌بردار دیواره‌آتش و ابزارهای نفوذی که ادعا می‌شد از گروه NSA دزیده‌اند، منتشر کردند که به گونه‌ای طراحی شده بود که فروشندگان بزرگی نظیر Cisco، Juniper و Fortinet را مورد هدف قرار دهد.

یک کد بهره‌بردار، به نام ExtraBacon، به عنوان وسیله نفوذ یک آسیب‌پذیری روز صفر (CVE-2016-6366) در یک کد^(۲) SNMP از نرم افزار Cisco ASA وجود دارد که به مهاجمان از راه دور اجازه می‌دهد تا سبب بارگذاری مجدد سیستم آلوده یا اجرا کردن کد مخرب شوند.

در حال حاضر، Cisco یک کد بهره‌بردار روز صفر دیگر به نام Benigncertain پیدا کرده است که فایروال‌های PIX را مورد هدف قرار می‌دهد.

Cisco کد بهره بردار را مورد آنالیز قرار داده است و به این نکته اشاره کرده که هیچ‌گونه نقصی که مربوط به این کد بهره‌بردار هست در محصولات موجود وجود ندارد. اما، آنالیز بیشتر Benigncertain آشکار کرد که این کد بهره‌بردار همچنین بر روی محصولاتCisco  که از نرم‌افزارهای IOS، IOS XE و IOS XR استفاده می‌کنند، تأثیرگذار است.

Benigncertain از آسیب‌پذیری CVE-2016-6415 که در کد پردازش بسته IKEv1 وجود دارد به عنوان یک وسیله نفوذ استفاده کرده و بر روی تعدادی از دستگاه‎های Cisco که از سیستم عامل IOS و فایروال‌های PIX استفاده می‌کنند، تأثیر گذاشته است.

IKE (تبادل کلید اینترنت)، یک پروتکل است که برای فایروال‌ها به منظور تأمین شبکه‎های خصوصی مجازی استفاده می‌شود و حتی سیستم‎های کنترل صنعتی را مدیریت می‎کند.

یک مهاجم غیرمجاز راه دور، می‌تواند از این آسیب‌پذیری استفاده کرده تا محتویات حافظه را از ترافیک بازیابی کرده و اطلاعات مهم و حساس نظیر کلیدهای خصوصی RSA و اطلاعات پیکربندی را افشا کند. مهاجم این کار را از طریق فرستادن بسته‌های IKEv1 که به طور خاص طراحی شده‌اند، به دستگاه‌های تحت تأثیر قرار گرفته انجام می‌دهد.

Cisco در یک پیشنهاد اعلام می‌کند: “این آسیب‌پذیری به علت ناکافی بودن شرایط بررسی در بخشی از کد که مسئول درخواست‌های مذاکره امنیتی IKEv1 است، ایجاد شده است. یک مهاجم می‎‌تواند این آسیب‌پذیری را توسط فرستادن یک بسته طراحی شده IKEv1 به یک دستگاه که طوری تنظیم شده است که درخواست‌های مذاکره امنیتی IKEv1 را قبول ‌می‌کند؛ بهره برداری کند.”

سیستم‌های عامل Cisco XR با نسخه‌های ۴٫۳٫x، ۵٫۰٫x، ۵٫۱٫x و همچنین فایروال‌های PIX با نسخه‌های ۶٫x و جدیدتر، به این آسیب‌پذیری حساس هستند و به همین خاطر، شرکت، از PIX از سال ۲۰۰۹ به بعد پشتیبانی نکرده است.

Cisco  هیچ‌گونه وصله‌ای برای این نقص ارائه نداده است و هنوز هیچ راه حلی نیز در دسترس نیست.

شرکت می‌گوید این آسیب‌پذیری همچنان در حال بهره‌برداری است و به مشتریان پیشنهاد می‌دهد تا از سیستم تشخیص نفوذ^(۳) و سیستم‌های جلوگیری از نفوذ^(۴) برای جلوگیری از حمله استفاده کنند.

Cisco  وعده داده است تا به‌‌روز‌رسانی‌های نرم‌افزار را برای حل کردن آسیب‌پذیری CVE-2016-6415 ارائه کند، اما برنامه زمانی‌ مشخصی برای انتشار این به روز رسانی‌ها اعلام نکرده است.

منبع:

http://thehackernews.com/2016/09/cisco-nsa-exploit.html

(۱) Exploit

(۲) Simple Network Management Protocol

(۳) Intrusion Detection System (IDS)

(۴) Intrusion Prevention Systems (IPS)