CVE-2023-20198

Accès non autorisé et prise de contrôle sur Cisco IOS XE via une vulnérabilité du web UI

Une faille critique, identifiée sous la référence CVE-2023-20198, affecte l’interface web (web UI) des logiciels Cisco IOS XE. Elle permet à des acteurs malveillants de contourner les protections et d’accéder sans authentification à des points d’extrémité spécifiques (webui_wsma_http). Cette brèche ouvre la voie à l’exécution de commandes arbitraires sur le système Cisco IOS, y compris des modifications de configuration au niveau privilégié (Privilege 15).

Les méthodes d’exploitation courantes visent deux points d’extrémité SOAP XML : “cisco:wsma-exec” pour l’exécution de commandes et la modification de la configuration, et “cisco:wsma-config” pour des actions telles que la création de comptes utilisateurs. Des cas d’usage ont démontré l’utilisation de cette vulnérabilité pour obtenir un accès initial, créer un compte local, puis exploiter une autre faille (CVE-2023-20273) afin d’obtenir des privilèges root et d’installer des logiciels malveillants. Les appareils Cisco concernés incluent les routeurs, les commutateurs et les contrôleurs sans fil.

Points Clés :

• Nature de la vulnérabilité : Mauvaise validation des chemins dans la fonctionnalité web UI de Cisco IOS XE.
• Impact : Contournement de l’authentification, exécution de commandes arbitraires, modifications de configuration, création de comptes utilisateurs.
• Exploitation observée : Utilisation en conjonction avec d’autres vulnérabilités pour une prise de contrôle complète du système.
• Appareils affectés : Équipements réseau Cisco fonctionnant sous Cisco IOS XE (routeurs, commutateurs, contrôleurs sans fil).

Vulnérabilités :

• CVE-2023-20198 : Vulnérabilité d’accès non authentifié à l’interface web de Cisco IOS XE.
• CVE-2023-20273 : Vulnérabilité mentionnée comme étant utilisée pour l’escalade de privilèges vers root après l’exploitation de CVE-2023-20198.

Recommandations :

Bien que l’article ne détaille pas explicitement les recommandations, la nature de la faille suggère les actions suivantes :

• Mise à jour des logiciels : Appliquer les correctifs de sécurité publiés par Cisco pour les logiciels Cisco IOS XE affectés.
• Surveillance et détection : Mettre en place une surveillance accrue du trafic réseau et des journaux d’événements pour identifier toute activité suspecte liée aux points d’extrémité mentionnés.
• Segmentation réseau : Limiter l’accès à l’interface web des équipements réseau aux seuls utilisateurs et systèmes autorisés.

Source