חולשה בשירות ה-VPN לגישה מרחוק של Cisco ASA ו-FTD מאפשרת לתוקף להריץ ניסיונות התחברות מול המכשיר ולזהות כך צירופים נכונים של שם משתמש וסיסמה. הציון שנקבע לה נמוך יחסית, 5.0, מפני שהיא אינה עוקפת את ההזדהות אלא מקלה על ניחוש שלה. CISA רשמה אותה כמנוצלת בפועל בספטמבר 2023.
מה החולשה?
במכשיר כזה חיים זה לצד זה כמה שירותים נפרדים: ה-VPN לגישה מרחוק, ממשק הניהול ב-HTTPS, וה-VPN שמחבר אתר לאתר. לכל אחד מהם אמורים להיות כללים משלו לשאלה מי מורשה להתחבר, מה נבדק בדרך ומה נרשם ביומן.
לפי הרשומה במאגר NVD, ההפרדה הזאת אינה נאכפת כראוי. השירותים חולקים את מנגנון ההרשאות והרישום, ותוקף שפונה דווקא אל פרופיל החיבור שהמכשיר מגדיר כברירת מחדל יכול להשתמש בערבוב הזה כדי לנסות סיסמאות דרך מסלול שאינו מטופל כמו שצריך.
מה שהחולשה אינה עושה, והרשומה אומרת זאת במפורש, הוא לעקוף הזדהות. כדי להתחבר בסוף צריך פרטים נכונים, וגם גורם אימות שני אם הוגדר כזה. היא גם אינה מאפשרת להקים מנהרת VPN מלאה, מפני שלפרופילים האלה אין מאגר כתובות להקצות.
יש בכל זאת צד שני. על מכשירים שמריצים ASA בגרסה 9.16 או ישנה ממנה, תוקף שכבר מחזיק בפרטים תקינים יכול להקים דרך אותו מסלול חיבור VPN מבוסס דפדפן עבור משתמש שאינו מורשה לכך.
מי מושפע?
ארגונים שמפעילים Cisco ASA או FTD עם שירות VPN לגישה מרחוק. רשימת הגרסאות ברשומה ארוכה ויורדת עד רמת העדכון המדויקת, ולכן ההודעה של Cisco היא המקום לבדוק בו את הגרסה שלכם.
בישראל זה נוגע לחלק גדול מהארגונים הבינוניים והגדולים. ASA הוא מהמכשירים הנפוצים בשער הכניסה לרשת הארגונית, ושירות ה-VPN שעליו הוא לרוב הדרך שבה עובדים מתחברים מהבית.
הזווית המעשית כאן אינה החולשה לבדה אלא מה שהיא מאפשרת, ניחוש סיסמאות בקנה מידה גדול. ארגון שמשתמשיו בוחרים סיסמאות חלשות, או שאין בו אימות דו-שלבי על ה-VPN, חשוף כאן הרבה יותר מארגון שיש בו.
האם מנוצלת בפועל?
כן. ב-13 בספטמבר 2023 נוספה החולשה לקטלוג ה-KEV של CISA, סוכנות הסייבר האמריקאית, הרשימה שמרכזת חולשות שידוע כי תוקפים מנצלים אותן. תאריך היעד לתיקון שנקבע אז לגופים הפדרליים בארצות הברית היה 4 באוקטובר 2023.
הרישום הגיע שבוע בלבד אחרי שהחולשה פורסמה, ב-6 בספטמבר 2023. פער כה קצר בין פרסום לרישום אומר בדרך כלל שהניצול כבר היה ידוע בזמן הפרסום.
הרשומה בקטלוג אינה מפרטת מי מנצל את החולשה ובאיזה היקף.
מה עושים?
עדכנו לפי הודעת האבטחה של Cisco. הרשומה מציינת שלצד העדכונים קיימים גם מעקפים שמטפלים בחולשה, וההודעה הזאת היא המקום שבו הם מפורטים.
ודאו שאימות דו-שלבי מופעל על ה-VPN לכל המשתמשים, בלי יוצאים מן הכלל. הרשומה אומרת במפורש שכשמוגדר גורם אימות שני, צריך אותו כדי להשלים התחברות. זה מה שהופך ניחוש סיסמאות מדרך פנימה לרעש בלבד.
עברו על יומני ההתחברות של ה-VPN וחפשו ריבוי כישלונות מאותה כתובת, או ניסיונות מול שמות משתמש רבים בזה אחר זה. זה הסימן לניסיון ניצול, והוא מה שאפשר לראות בדיעבד.
אם מוגדר במכשיר פרופיל חיבור ברירת מחדל שאינכם משתמשים בו, בדקו מול ההודעה של Cisco אם אפשר לצמצם את הגישה אליו. הניצול נשען על פנייה דווקא אליו.