Cisco IOS Yazılımı için IOx uygulama ortamında, kimliği doğrulanmış uzaktan saldırganların Kök kullanıcısı olarak Konuk İşletim Sistemine (Konuk İşletim Sistemi-Guest OS) erişmesine olanak verebilecek kritik bir güvenlik açığını gidermek üzere güvenlik güncelleştirmeleri yayımladı.
Hatalı erişim kontrolü zayıflığının neden olduğu bu yüksek dereceli güvenlik açığı CVE-2019-12648 olarak tanımlanır ve CVSS 3.0 temel puanı 9.9 / 10’dur.
CVE-2019-12648, Cisco IOS Yazılımının savunmasız sürümlerini çalıştıran Cisco 1000 Serisi Yönlendiricileri (CGR 1000) ve Cisco 800 Serisi Endüstriyel Tümleşik Hizmetler Yönlendiricilerini etkiler.
“Güvenlik açığı, düşük ayrıcalıklı bir kullanıcının Yönetimsel hesaplarla sınırlandırılması gereken bir Konuk İşletim Sistemine erişim isteğinde bulunması durumunda hatalı rol tabanlı erişim kontrolü (RBAC) değerlendirmesi nedeniyle” gerçekleşir deniyor. “Bir saldırgan, düşük ayrıcalıklı kullanıcı kimlik bilgilerini kullanarak Konuk İşletim Sisteminde kimlik doğrulaması yaparak bu güvenlik açığından yararlanabilir.”
“Konuk işletim sistemi, Hypervisor, IOS ve Konuk işletim sistemi görüntülerini içeren bir paket IOS görüntüsünün parçası olarak bulunur” diye ekliyor Cisco. “İlk yüklemeyi veya bir yazılım yükseltmesini gerçekleştirmek için Cisco IOS Software görüntü paketini kullanan müşteriler, yazılım işletim sistemi paketinin bir parçası olarak Guest OS’ye otomatik olarak yüklenecek.”
Cisco, etkilenen tüm cihazların güvenlik açığını gidermek için ücretsiz güvenlik güncelleştirmeleri yayımladı ve müşterilere gerekirse daha fazla bilgi için Cisco Teknik Yardım Merkezi’ne (TAC) veya sözleşmeli bakım sağlayıcılarına başvurmalarını tavsiye eder.
Bir cihazın savunmasız olup olmadığı nasıl bulunur
Yöneticiler, show iox host list detail komutubu CLI’da kullanarak Konuk işletim sisteminin bir aygıtta etkin olup olmadığını belirleyebilirler .
Cisco’nun tavsiyesi , konuk işletim sisteminin etkin olduğu bir aygıt için komutun çıktısını gösteren aşağıdaki örneği sağlar :
Router#show iox host list detail | include OS status
OS status: RUNNING
Bu komut mevcut değilse veya İşletim Sistemi Durumu alanında " RUNNING" dizesini göstermeyen bir çıktı üretirse , cihaz bu danışma belgesinde açıklanan güvenlik açığından etkilenmez.
Geçici çözüm yok
Şu anda hızlı bir şekilde yükseltilemeyen cihazlar için CVE-2019-12648’i hafifletmek için hiçbir geçici çözüm bulunmamakla birlikte, bu güvenlik açığından yararlanılmasına yol açan saldırı vektörü, ” guest-os image uninstallgenel yapılandırma modunda kullanılabilen komuttur. “
Ayrıca, Cisco Ürün Güvenliği Olayı Müdahale Ekibine (PSIRT) göre yama yayınlanıncaya kadar, güvenlik açığı ile ilgili herhangi bir kötü amaçlı kullanım veya genel bilgi bulunamamıştır.
Bu güvenlik açığı, 7.5 – 9.9 arasındaki CVSS temel puanlarıyla, tümü yüksek derecede derecelendirilen 13 farklı güvenlik açığını tanımlayan 12 Cisco Güvenlik Tavsiyesini içeren , altı aylık Cisco IOS ve IOS XE Yazılım Güvenliği Danışma Paketi Yayını’nın bir parçası olarak açıklanmıştır.
Cisco, tüm bu güvenlik açıklarını gidermek için güvenlik güncellemeleri yayınlayarak, saldırganların “yetkisiz erişim sağlamak, bir komuta enjeksiyon saldırısı yapmak veya hizmet reddi (DoS) durumuna neden olmak gibi saldırı yöntemleri ile yamalı cihazlardan yararlanmalarını engelledi.
