חומות האש של Cisco מדגמי ASA ו-FTD מפעילות ממשק ווב שדרכו מתחברים משתמשי ה-VPN מרחוק. חולשה בממשק הזה מאפשרת לשלוח אליו בקשה שגויה במתכוון ולקבל בחזרה קטעים מהזיכרון של המכשיר. אין צורך בשם משתמש ובסיסמה, הציון הוא 7.5, והחולשה נמצאת ברשימת החולשות המנוצלות בפועל של CISA מאז פברואר 2024.
מה החולשה?
כששרת מקבל כתובת שאינה תקינה, הוא אמור לזהות את זה, לעצור ולהחזיר שגיאה. כאן הוא ממשיך לקרוא.
לפי הרשומה במאגר NVD, הבעיה היא במעקב אחרי הגבולות של אזור זיכרון בזמן שהתוכנה מפרסרת כתובות לא חוקיות שמגיעות אל ממשק הווב. התוכנה מאבדת את הספירה של היכן נגמר המידע שהיא אמורה להחזיר, וממשיכה להעתיק גם את מה שיושב אחריו. מה שיושב אחריו הוא מה שהמכשיר במקרה החזיק באותו רגע בזיכרון.
התוקף שולח בקשת GET מעוצבת ומקבל בתשובה את הקטע הזה. הוא אינו בוחר מה בדיוק יקבל, ולכן המהלך חוזר על עצמו: כל בקשה מחזירה פיסה אחרת, ומי שאוסף מספיק פיסות מרכיב מהן תמונה.
לפי הדירוג, הפגיעה כאן היא בסודיות בלבד וברמה גבוהה. המכשיר אינו משתנה ואינו נופל, הוא רק מדבר יותר מדי. זה גם מה שהופך את החולשה לשקטה.
מי מושפע?
לא כל מכשיר ASA או FTD. הרשומה מדגישה שהחולשה נוגעת רק לתצורות מסוימות של AnyConnect ושל WebVPN, כלומר למכשירים שמוגדרים לשמש גישה מרחוק.
רשימת הגרסאות ארוכה ומשתרעת על פני ענפים רבים. ב-FTD מדובר בכל מה שקודם ל-6.2.3.16, ל-6.3.0.6, ל-6.4.0.9 ול-6.5.0.5, כל אחד בענף שלו, וב-ASA בכל מה שקודם ל-9.8.4.20, ל-9.9.2.67, ל-9.10.1.40 וכן הלאה. ההודעה של Cisco היא המקום לבדוק בו את הענף הספציפי שרץ אצלכם.
בישראל ציוד ASA נפוץ בארגונים בינוניים וגדולים, והוא לרוב בדיוק המכשיר שחשוף לאינטרנט מעצם תפקידו. חולשה בת שש שנים במכשיר כזה אינה בעיה תיאורטית, מפני שציוד תשתית נוטה להישאר בגרסה שעבדה.
האם מנוצלת בפועל?
כן. ב-15 בפברואר 2024 הכניסה CISA, סוכנות הסייבר האמריקאית, את החולשה לקטלוג ה-KEV שלה, הרשימה שמרכזת חולשות שידוע כי תוקפים משתמשים בהן בפועל. תאריך היעד שנקבע אז לגופים הפדרליים בארצות הברית היה 7 במרץ 2024.
שימו לב לפער. החולשה פורסמה במאי 2020, והרישום כמנוצלת הגיע כמעט ארבע שנים אחריו. זה דפוס מוכר בציוד תשתית: החולשה מתפרסמת, חלק מהארגונים מעדכנים, והמכשירים שלא עודכנו נשארים במקומם ומחכים למי שיסרוק אותם.
הרשומה בקטלוג אינה מפרטת מי התוקפים ובאיזה היקף.
מה עושים?
עדכנו את גרסת התוכנה של המכשיר לפי הודעת האבטחה של Cisco. ההודעה מפרטת לכל ענף את הגרסה המתוקנת הראשונה, וזה המספר שצריך להשוות אליו.
בדקו קודם אם אתם בכלל בתצורה הרלוונטית. אם AnyConnect או WebVPN אינם מופעלים במכשיר, החולשה אינה נוגעת לכם, וההודעה של Cisco מסבירה איך לוודא זאת.
אם המכשיר רץ גרסה פגיעה והיה חשוף לאינטרנט, אל תסתפקו בעדכון. הרשומה מדברת על חשיפת מידע רגיש מתוך הזיכרון, ובממשק שדרכו אנשים מתחברים זה יכול להיות כל מה שעבר שם באותן שעות. שקלו להחליף סיסמאות של משתמשי ה-VPN, ועברו על היומנים בחיפוש אחר התחברויות שאינכם מזהים.
הפרידו את ממשק הניהול של המכשיר מהאינטרנט הפתוח. ממשק שנגיש רק מרשת פנימית או מרשימת כתובות מצומצמת מקטין את מספר מי שיכול בכלל לשלוח את הבקשה הזאת.