CVE-2023-20198

Accès Non Autorisé aux Périphériques Cisco IOS XE Exploite une Vulnérabilité

Une faille de sécurité critique, identifiée sous le nom de CVE-2023-20198, affecte le composant interface web (UI) du logiciel Cisco IOS XE. Elle permet à des attaquants de contourner les mécanismes de sécurité Nginx et d’accéder sans authentification au point d’accès web “webui_wsma_http”.

Les points d’accès XML SOAP ciblés par cette exploitation sont “cisco:wsma-exec” et “cisco:wsma-config”. Ces derniers sont utilisés pour exécuter des commandes arbitraires et modifier la configuration du système, y compris la création de comptes utilisateurs, avec des privilèges élevés (Privilege 15).

Dans des scénarios réels, des acteurs malveillants ont exploité cette vulnérabilité pour obtenir un accès initial, ajouter un utilisateur local, puis utiliser une autre faille (CVE-2023-20273) afin d’élever leurs privilèges jusqu’à l’accès root et installer des logiciels malveillants. Le logiciel Cisco IOS XE est présent sur une large gamme d’équipements réseau Cisco, tels que les routeurs, les commutateurs et les contrôleurs sans fil.

Points Clés :

• Vecteur d’attaque : Interface web (UI) de Cisco IOS XE.
• Mécanisme : Validation de chemin incorrecte permettant le contournement du filtrage Nginx.
• Impact : Exécution de commandes arbitraires et modifications de configuration avec des privilèges élevés.
• Utilisation observée : Obtention d’accès initial, création de comptes utilisateurs, et enchaînement avec d’autres vulnérabilités pour un accès root et une installation de malware.

Vulnérabilités :

• CVE-2023-20198 : Vulnérabilité d’accès non autorisé via l’interface web.
• CVE-2023-20273 : Utilisée en combinaison pour l’escalade de privilèges vers l’accès root.

Recommandations :

Bien que l’article ne détaille pas explicitement les recommandations, il est implicite que les utilisateurs de Cisco IOS XE doivent :

• Appliquer les correctifs de sécurité les plus récents fournis par Cisco pour atténuer CVE-2023-20198 et les vulnérabilités associées.
• Mettre en œuvre des mesures de sécurité robustes pour l’accès aux interfaces de gestion des périphériques réseau.
• Surveiller les journaux pour toute activité suspecte liée aux points d’accès mentionnés.

Source