Cisco advierte de una vulnerabilidad zero-day en su Cisco Adaptive Security Appliance (ASA) y Cisco Firepower Threat Defense (FTD) que es explotada activamente por operaciones de ransomware para obtener acceso inicial a las redes corporativas.
La vulnerabilidad zero-day de gravedad media afecta a la función VPN de Cisco ASA y Cisco FTD, permitiendo a atacantes remotos no autorizados realizar ataques de fuerza bruta contra cuentas existentes.
Al acceder a esas cuentas, los atacantes pueden establecer una sesión VPN SSL sin cliente en la red de la organización vulnerada, lo que puede tener repercusiones variables en función de la configuración de red de la víctima.
Una semana más tarde, Rapid7 informó de que la operación de ransomware Lockbit también explotaba un problema de seguridad no documentado en los dispositivos VPN de Cisco, además de Akira. Sin embargo, la naturaleza exacta del problema seguía sin estar clara.
En aquel momento, Cisco publicó un aviso en el que advertía de que las brechas se habían llevado a cabo forzando credenciales en dispositivos sin MFA configurado.
Esta semana, Cisco confirmó la existencia de una vulnerabilidad zero-day utilizada por estas bandas de ransomware y proporcionó soluciones en un boletín de seguridad provisional.
Sin embargo, las actualizaciones de seguridad para los productos afectados aún no están disponibles.
Detalles de la vulnerabilidad
El fallo CVE-2023-20269 se encuentra en la interfaz de servicios web de los dispositivos Cisco ASA y Cisco FTD, concretamente en las funciones que se ocupan de las funciones de autenticación, autorización y contabilidad (AAA).
El fallo se debe a una separación incorrecta entre las funciones AAA y otras funciones de software. Esto conduce a escenarios en los que un atacante puede enviar solicitudes de autenticación a la interfaz de servicios web para afectar o comprometer los componentes de autorización.
Dado que estas peticiones no tienen limitación, el atacante puede forzar credenciales utilizando innumerables combinaciones de nombre de usuario y contraseña sin que se le limite la velocidad o se le bloquee por abuso.
Para que los ataques de fuerza bruta funcionen, el dispositivo Cisco debe cumplir las siguientes condiciones:
- Al menos un usuario está configurado con una contraseña en la base de datos LOCAL o la autenticación de gestión HTTPS apunta a un servidor AAA válido.
- La VPN SSL está habilitada en al menos una interfaz o la VPN IKEv2 está habilitada en al menos una interfaz.
Si el dispositivo objetivo ejecuta el software Cisco ASA versión 9.16 o anterior, el atacante puede establecer una sesión VPN SSL sin cliente sin autorización adicional tras una autenticación correcta.
Para establecer esta sesión VPN SSL sin cliente, el dispositivo de destino debe cumplir estas condiciones:
- El atacante dispone de credenciales válidas para un usuario presente en la base de datos LOCAL o en el servidor AAA utilizado para la autenticación de la gestión HTTPS. Estas credenciales podrían obtenerse mediante técnicas de ataque de fuerza bruta.
- El dispositivo ejecuta el software Cisco ASA versión 9.16 o anterior.
- SSL VPN está habilitado en al menos una interfaz.
- El protocolo SSL VPN sin cliente está permitido en la DfltGrpPolicy.
Mitigación del fallo
Cisco publicará una actualización de seguridad para solucionar CVE-2023-20269, pero hasta que las correcciones estén disponibles, se recomienda a los administradores del sistema que tomen las siguientes medidas:
- Utilizar DAP (Dynamic Access Policies) para detener los túneles VPN con DefaultADMINGroup o DefaultL2LGroup.
- Denegar el acceso con Default Group Policy ajustando vpn-simultaneous-logins para DfltGrpPolicy a cero, y asegurándose de que todos los perfiles de sesión VPN apuntan a una política personalizada.
- Implemente restricciones LOCALES en la base de datos de usuarios bloqueando usuarios específicos a un único perfil con la opción 'group-lock', y evite configuraciones VPN ajustando 'vpn-simultaneous-logins' a cero.
Cisco también recomienda asegurar los perfiles VPN de acceso remoto por defecto apuntando todos los perfiles no predeterminados a un servidor AAA sinkhole (servidor LDAP ficticio) y habilitando el registro para detectar posibles incidentes de ataque con antelación.
Por último, es crucial tener en cuenta que la autenticación multifactor (MFA) mitiga el riesgo, ya que incluso forzando con éxito las credenciales de la cuenta no sería suficiente para secuestrar cuentas protegidas por MFA y utilizarlas para establecer conexiones VPN.
Fuente: bleepingcomputer