محققان یک آسیب‌پذیری شدید را در محصولات سیسکو کشف کرده‌اند که می‌تواند به مهاجمان اجازه دهد درهای پشتی ماندگار را روی گستره وسیعی از دستگاه‌های مورداستفاده در شرکت‌ها و شبکه‌های دولتی ازجمله روترها، سوئیچ‌ها و فایروال‌ها پیاده‌سازی کنند.
این آسیب‌پذیری که توسط محققان شرکت امنیتی Red Balloon Red کشف شده، Thrangrycat یا 😾😾😾 نام‌گذاری شده[۱] و با عنوان CVE-2019-1649 شناخته شده است و روی چندین محصول سیسکو که از Trust Anchor module پشتیبانی می‌کنند، تأثیرگذار است.
ماژولTrust Anchor یک عملکرد بوت شدن ایمن مبتنی بر سخت‌افزار است که از سال ۲۰۱۳ تقریباً در کلیه دستگاه‌های شرکت سیسکو اجرا شده است و این اطمینان را می‌دهد که firmware ای که روی سیستم‌عامل‌های سخت‌افزاری اجرا می‌شود، معتبر و ویرایش نشده است.
بااین‌حال، محققان مجموعه‌ای از نقص‌های طراحی سخت‌افزاری را یافتند که می‌تواند به یک مهاجم تصدیق شده اجازه دهد از طریق اصلاحات bitstream FPGA و بارگیری یک bootloader موذی، اصلاحات ماندگاری را در ماژول Trch Anchor انجام دهد.
محققان دراین‌باره گفتند: “یک مهاجم که دارای امتیازات ریشه در دستگاه است می‌تواند محتویاتFPGA anchor bitstream را که به‌صورت محافظت نشده در حافظه فلش ذخیره‌شده، ویرایش کند.
“ویرایش موفقیت‌آمیز bitstream پایدار است و Trust Anchor در توالی‌های بعدی بوت غیرفعال می‌شود. همچنین می‌توان هرگونه به‌روزرسانی نرم‌افزاری را در TAm’s bitstream قفل کرد.”
زنجیر کردن توسط اشکالات از راه دور: دسترسی فیزیکی لازم نیست.
ازآنجاکه بهره‌برداری از این آسیب‌پذیری نیاز به امتیازات ریشه دارد، در راهنمای منتشرشده[۲] توسط سیسکو اشاره شده است که فقط یک مهاجم محلی با دسترسی فیزیکی به سیستم مورد هدف می‌تواند یک firmware ویرایش شده را برای اجزاء بنویسد.
بااین‌حال، محققان Red Balloon توضیح دادند که مهاجمان همچنین می‌توانند از آسیب‌پذیری Thrangrycat از راه دور با زنجیر کردن آن با سایر نقص‌هایی که می‌توانند به آن‌ها دسترسی پیدا کنند، بهره‌برداری کنند تا دسترسی در حد ریشه پیدا کنند یا حداقل دستورات را به‌عنوان ریشه اجرا کنند.
محققان برای اثبات این حمله، آسیب‌پذیری از راه دور CVE-2019-1862 را در رابط کاربر مبتنی بر وب سیستم‌عامل IOS سیسکو نشان دادند[۳] که به یک مدیر واردشده اجازه می‌دهد تا از راه دور دستورات دلخواه را روی shell لینوکس یک دستگاه آسیب‌دیده با اختیارات در حد ریشه اجرا کند.
پس از دستیابی به دسترسی در حد ریشه، مدیر سرکش می‌تواند از راه دور ماژول Trust Anchor را با استفاده از آسیب‌پذیری Thrangrycat از طریق دستگاه مورد هدف دور بزند و یک در پشتی موذی را نصب کند.
چه چیزی این آسیب‌پذیری را شدیدتر می‌کند:
محققان گفتند: “با زنجیر کردن آسیب‌پذیری 😾😾😾 و آسیب‌پذیری‌های تزریق کد از راه دور، یک مهاجم می‌تواند از راه دور و به‌طور مداوم از مکانیسم بوت ایمن سیسکو عبور کند و تمام به‌روزرسانی‌های نرم‌افزاری در پیش رو را در TAm قفل کند.”
“ازآنجاکه این نقص‌ها در طراحی سخت‌افزار قرار دارند، بعید است که انتشار هرگونه وصله امنیتی نرم‌افزاری به‌طور کامل این آسیب‌پذیری اساسی امنیتی را برطرف کند.”
درحالی‌که محققان این آسیب‌پذیری را در برابر روترهای سیسکو ASR 1001-X آزمایش کردند، صدها میلیون دستگاه سیسکو که دارای TAm مبتنی بر FPGA در سراسر جهان هستند، شامل تمامی روترهای سازمانی، سوئیچ‌های شبکه و فایروال‌ها نیز به این نقص آسیب‌پذیر هستند.
Red Balloon Security به‌طور خصوصی این مشکلات را در نوامبر سال ۲۰۱۸ به سیسکو گزارش داد و فقط برخی از جزئیات را پس از انتشار وصله‌های firmware توسط سیسکو برای هر دو عیب و انتشار لیست دستگاه‌های آسیب‌پذیر، به اطلاع عموم مردم رساند.
سیسکو گفت این شرکت حملاتی که با بهره‌برداری از این دو آسیب‌پذیری انجام‌شده باشد را تابه‌حال شناسایی نکرده است.
جزئیات کامل این آسیب‌پذیری‌ها در کنفرانس امنیتی امسال یعنی Black Hat USA در ماه اوت ۲۰۱۹ منتشر می‌شود.
منابع
[۲] https://tools.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-20190513-secureboot
[۳] https://tools.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-20190513-webui
[۴] https://thehackernews.com/2019/05/cisco-secure-boot-bypass.html
ثبت ديدگاه