Эксперты говорят о криптографической проблеме в системе Cisco IOS

Эксперты говорят о криптографической проблеме в системе Cisco IOS

Эксперты по криптографии говорят, что компания Cisco непреднамеренно снизила уровень стойкости защиты данных в сетевой операционной системе IOS, используемой во многих сетевых устройствах компании. Эксперты говорят,что прежде в IOS использовался алгоритм шифрования и система защиты данных, однако Cisco  заменила их на более современные. Впрочем, последние, как показала практика, оказались менее надежными в сравнении с предшественниками.



Новая криптосистема, получившая название Type 4, была призвана исключить вероятность атак по словарю, когда злоумышленники подбирают пароль методом перебора комбинаций. В документах Cisco говорилось, что Type 4 должен прийти на смену нынешним Type 5 и Type 7. Однако в результате неверного развертывания усиленного алгоритма, система оказалась значительно менее стойкой, нежели предшественники. Новая система должна была работать по принципу использования хэшей паролей, а не самих паролей как таковых, пишет cybersecurity.ru.

Проблема была выявлена Филипом Шмидтом и Йенсом Стойбе из Hashcat Project, занимающихся созданием программного обеспечения для взлома паролей.

Как они рассказали, алгоритм Type 4 представляет собой разновидность реализации технологии шифрования PBKDF2 (Password-Based Key Derivation Function version 2). Последний, в свою очередь, базируется на стандарте шифрования SHA-256, но подмешивает к пасс-коду еще 80 бит случайных данных (на жаргоне криптографов - "подсаливает" код), чтобы системам взлома было значительно труднее отличить "соль" от полезных данных. Алгоритмы Type 5 и 7 работали по такому же принципу, но здесь в качестве базы применялся стандарт шифрования MD5. SHA-256 по своей организации считается более продвинутым, нежели созданный в 1992 году MD5.

Шмидт говорит, что метод "подсаливания" паролей используется практически во всех современных системах защиты, причем некоторые системы защиты используют несколько слоев "подсаливания" (а некоторые довольно много - до 1000). Это позволяет дополнительно защитить пароль, так как в этом случае 1000-кратно вырастает объем операций по перебору. То есть, чтобы проверить один реальный пароль, нужно 1000 раз проработать каждую созданную хеш-функцию, постепенно "отшелушивая" ненужные данные. На практике, это создает условия, когда взломать подобным образом защищенный пароль за обозримый период времени, даже на очень мощном оборудовании, практически невозможно.

Однако это в теории. В реальности для создания надежной защиты необходимо создать правильную реализацию алгоритма, встроенного в операционную систему.

Как рассказали в Cisco, на сегодня на базе Type 4 работают немногие образцы продуктов cisco, в частности те, что перешли на IOS 15.0 и старше. На сегодня в Cisco не опубликовали, какие именно продукты подвержены проблеме, однако заявили, что пользователи, которые уже используют Type 4, могут при помощи сравнительно несложных операций откатить систему до Type 5.

Известно, что проблема позволяет при помощи нехитрых манипуляций выявить хеши паролей в "очищенном" виде без каких-либо операций по перебору. Более того, некоторые IOS-устройства сконфигурированы для управления через интернет и доступ к хешам с паролями возможен даже удаленно. Ряд устройств содержат в себе решения для детектирования взлома, однако это в любом случае создает неудобства для администраторов.

AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

Две уязвимости в Node.js ставят под удар миллионы Windows-приложений

Кураторы проекта Node.js из OpenJS Foundation выпустили обновления с патчами в ветках 24.x, 22.x и 20.x. Апдейты устраняют проблемы, актуальные для приложений Windows и веб-сервисов, использующих JavaScript-движок V8.

По оценкам экспертов, затронуты миллионы серверных и полнофункциональных приложений. Уровень угрозы в обоих случаях определен как высокий.

Уязвимость CVE-2025-27210 представляет собой возможность обхода защиты от path traversal (выхода за пределы рабочего каталога), которая проявляется при использовании API-функции path.join() и возникла из-за неполного патча для CVE-2025-23084.

Ошибка в реализации функции path.normalize() позволяет получить несанкционированный доступ к файлам и папкам с помощью недопустимого имени — такого как CON, PRN, AUX (в Windows резервируются для системных устройств, к которым можно обратиться напрямую).

Уязвимость CVE-2025-27209 классифицируется как HashDoS — возможность вызвать отказ приложения (DoS) через создание множественных коллизий хешей. Проблема была привнесена с выпуском Node.js 24.0.0, который изменил алгоритм вычисления хешей строк.

Реализованная в движке V8 хеш-функция rapidhash ускорила процесс, но при этом также открыла дверь для атак HashDoS. Злоумышленник, контролирующий ввод строк для хеширования, может скормить в хеш-таблицу данные таким образом, чтобы все они попали в один слот.

В результате скорость поиска элементов и вставки новых коллизий упадет, а потребление памяти будет расти, что в итоге приведет к DoS. Знания зерна алгоритма для генерации хеш-коллизий в данном случае не потребуется.

Патчи для Node.js включены в состав сборок 20.19.4, 22.17.1 и 24.4.1. Организациям, использующим Windows-приложения на основе Node.js, рекомендуется приоритизировать обновление.

AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

RSS: Новости на портале Anti-Malware.ru