CVE-2023-20198

Accès Non Autorisé aux Périphériques Cisco via une Vulnérabilité WebUI

Une faille critique (CVE-2023-20198) a été découverte dans l’interface utilisateur web des logiciels Cisco IOS XE. Cette vulnérabilité, liée à une validation incorrecte des chemins, permet à des attaquants de contourner les filtres de Nginx et d’accéder sans authentification à un point d’extrémité spécifique (webui_wsma_http).

Points Clés :

• Exploitation : Les attaquants ciblent deux points d’extrémité SOAP XML : cisco:wsma-exec pour l’exécution de commandes et la modification de configurations, et cisco:wsma-config pour des actions telles que l’ajout d’utilisateurs.
• Attaque en deux étapes : L’exploitation de CVE-2023-20198 est souvent la première étape d’une attaque plus large. Elle est utilisée pour obtenir un accès initial, créer un compte utilisateur local, puis exploiter une seconde vulnérabilité (CVE-2023-20273) pour élever les privilèges au niveau root et installer des logiciels malveillants.
• Impact : La faille affecte l’exécution de commandes Cisco IOS arbitraires et la modification de configurations avec des privilèges de niveau 15. Les périphériques concernés incluent divers routeurs, commutateurs et contrôleurs sans fil fonctionnant sous Cisco IOS XE Software.

Vulnérabilités :

• CVE-2023-20198 : Vulnérabilité d’authentification et d’autorisation dans l’interface web UI de Cisco IOS XE Software, permettant l’exécution de commandes arbitraires.
• CVE-2023-20273 : Vulnérabilité mentionnée dans le contexte d’une escalade de privilèges vers root après l’exploitation initiale de CVE-2023-20198.

Recommandations :

Bien que l’article ne détaille pas explicitement les recommandations, la nature de la vulnérabilité suggère fortement :

• Mise à jour des logiciels : Appliquer les correctifs de sécurité publiés par Cisco pour la version affectée de Cisco IOS XE Software.
• Contrôle d’accès : Revoir et renforcer les politiques de contrôle d’accès aux interfaces de gestion web des périphériques réseau.
• Surveillance : Surveiller activement les journaux pour détecter toute activité suspecte liée à l’accès aux points d’extrémité webui_wsma_http.

Source