Критический баг в Cisco ACS позволяет провести атаку Человек посередине

Критический баг в Cisco ACS позволяет провести атаку Человек посередине

Критический баг в Cisco ACS позволяет провести атаку Человек посередине

Эксперты Positive Technologies Михаил Ключников и Юрий Алейнов обнаружили критически опасную уязвимость в веб-интерфейсе популярного сервера управления доступом Cisco ACS. Недостаток безопасности позволяет неавторизованному атакующему выполнять произвольные команды на сервере от лица привилегированного пользователя.

Уязвимость CVE-2018-0253 получила оценку 9,8 балла по шкале CVSS v. 3.0, что означает критический уровень опасности. Если злоумышленник уже находится во внутренней сети, то он может изменять или собирать учетные данные пользователей сетевых устройств, атаковать другие ресурсы внутренней сети или проводить атаки «человек посередине». Если же веб-интерфейс Cisco ACS доступен из внешней сети, то эти действия могут проводиться из любой точки мира.

«При интеграции Cisco ACS с Microsoft Active Directory, что случается весьма часто, атакующий может украсть учетную запись администратора домена, а при менее благоприятных условиях (без интеграции с Active Directory) — получить контроль над роутерами и межсетевым экранами для прослушивания трафика всей сети (включая конфиденциальные данные) или доступ к закрытым сегментам сети, например процессингу в банке», — говорит специалист отдела анализа защищенности веб-приложений Positive Technologies Михаил Ключников.

Проблема связана с некорректной обработкой сообщений протокола AMF3 на сервере. В составе сообщения AMF3 злоумышленник может передать специально подготовленный Java-объект в сериализованном виде. При десериализации этого объекта сервер загрузит вредоносный код из источника, указанного нарушителем, и выполнит его.

Уязвимости подвержены версии Cisco ACS, выпущенные до v5.8.0.32.7 (авторизация не требуется), а также v5.8.0.32.7 и v5.8.0.32.8 (требуется авторизация). Для устранения проблемы производитель рекомендует обновить сервер до версии 5.8.0.32.9 или более поздней.

В платформе Security Vision улучшили визуализацию и администрирование

Security Vision начала год с нового релиза своей платформы. В обновлении разработчики сосредоточились на прикладных вещах: улучшили визуализацию данных, расширили журналирование и упростили работу с экспортом, импортом и административными настройками.

Аналитика и визуализация

В виджете «Карта» появилась тепловая карта. Она позволяет наглядно показывать интенсивность, частоту и количество событий — например, кибератак или инцидентов — в разрезе ИТ-объектов.

В виджете «Последовательность (Timeline)» добавили настраиваемые формы отображения параметров, используемых при выводе данных. Это упрощает анализ цепочек событий и работу с временными срезами.

 

Журналирование и контроль действий

Журнал аудита стал подробнее. Теперь в нём фиксируются события включения и отключения коннекторов, а также расширена информация о действиях, выполняемых с сервисом коннекторов.

Кроме того, в аудит добавлены записи об остановке и удалении запущенных рабочих процессов, а также о создании отчётов, что повышает прозрачность операций и упрощает разбор спорных ситуаций.

Экспорт, импорт и администрирование

При формировании пакета экспорта теперь можно выбрать все связанные с исходной сущностью объекты только для вставки, без замены при импорте. Это особенно удобно при передаче крупных и связанных наборов данных.

В системных настройках очистки истории появилась возможность удалять записи о выполненных операциях импорта и экспорта системных сущностей, что помогает поддерживать порядок в журнале событий.

Обновления интерфейса

В релизе доработан интерфейс формы настроек журнала аудита, переработан раздел «Профиль пользователя», а также обновлены представления для внутрипортальных уведомлений.

Работа с JSON

В блоке преобразований для работы с JSON унифицированы списки вариантов в поле «Название свойства» — теперь они соответствуют вариантам выборки в поле «Значение свойства». Это касается операций добавления, объединения, удаления и поиска по JPath и XPath.

Security Vision продолжает развивать платформу, делая акцент на удобстве повседневной работы, прозрачности процессов и более наглядной аналитике.

RSS: Новости на портале Anti-Malware.ru