Las vulnerabilidades de Cisco ISE se pueden encadenar con un solo clic

Múltiples vulnerabilidades en Cisco Identity Services Engine (ISE) podrían permitir a los atacantes remotos inyectar comandos arbitrarios, eludir las protecciones de seguridad existentes o realizar ataques de secuencias de comandos entre sitios (XSS). Un sistema de cumplimiento de políticas y control de acceso a la red (NAC) basado en la identidad, Cisco ISE permite a […]

Múltiples vulnerabilidades en Cisco Identity Services Engine (ISE) podrían permitir a los atacantes remotos inyectar comandos arbitrarios, eludir las protecciones de seguridad existentes o realizar ataques de secuencias de comandos entre sitios (XSS).

Un sistema de cumplimiento de políticas y control de acceso a la red (NAC) basado en la identidad, Cisco ISE permite a los administradores controlar el acceso a los puntos finales y administrar los dispositivos de red.

Un investigador en ISE ha identificado un total de cuatro vulnerabilidades, la explotación de todas requiere que un atacante sea un usuario válido y autorizado del sistema ISE.

La más grave de estas vulnerabilidades es CVE-2022-20964, un error de inyección de comandos en la función tcpdump de la interfaz de administración basada en web de ISE. El error de gravedad alta existe porque la entrada del usuario no se valida correctamente.

“Un atacante con privilegios suficientes para acceder a la función tcpdump podría explotar esta vulnerabilidad al manipular las solicitudes a la interfaz de administración basada en la web para contener los comandos del sistema operativo”, explica Cisco en un aviso.

La explotación exitosa de esta vulnerabilidad podría permitir que un atacante ejecute comandos arbitrarios en el sistema operativo subyacente. Si se encadena con otras fallas, el error podría permitir que el atacante eleve los privilegios a la raíz y potencialmente se haga cargo del sistema vulnerable.

Según el investigador de seguridad de Yoroi, Davide Virruso, quien descubrió las vulnerabilidades, Cisco subrayó el impacto que tiene CVE-2022-20964 en la confidencialidad, la integridad y la disponibilidad, dado que la falla de seguridad puede explotarse para obtener el shell raíz en el sistema operativo.

Al encadenar CVE-2022-20964 con CVE-2022-20959, una falla XSS en ISE que Cisco parchó en octubre, un atacante podría obtener fácilmente un shell raíz remoto en el sistema vulnerable, dijo el investigador de seguridad a SecurityWeek.

“Solo se necesita un clic de la víctima en el enlace para obtener un shell como usuario raíz del sistema”, dijo Virruso.

Registrado como CVE-2022-20965, otro error se describe como una omisión de acceso en la interfaz de administración basada en web. Según Virruso, este problema de control de acceso amplía la superficie de ataque de los exploits encadenados, exponiendo a muchos usuarios a ataques.

Al explotar esta vulnerabilidad, “un atacante remoto autenticado puede realizar descargas de archivos generados por la función, lo que lleva a la divulgación de información a la que no debería poder acceder”, explica Yoroi.

Los defectos de seguridad restantes, CVE-2022-20966 y CVE-2022-20967, podrían provocar ataques XSS. Las dos fallas se identificaron en las funciones tcpdump y External RADIUS Server de la interfaz de administración basada en web, respectivamente.

Un atacante que aproveche estas vulnerabilidades podría almacenar HTML malicioso o código de script dentro de la interfaz de la aplicación y usar ese código para ataques XSS.

Cisco dice que los parches que abordan estas vulnerabilidades están planificados para el primer trimestre de 2023, en forma de versiones de Cisco ISE 3.1p6 y 3.2p1.

El gigante tecnológico anima a los clientes a ponerse en contacto con él para obtener parches y dice que también está evaluando el posible lanzamiento de parches para las versiones 2.7 y 3.0 de ISE.

Virruso le dijo a SecurityWeek que el próximo año se publicará un código de prueba de concepto (PoC) dirigido a estas vulnerabilidades. En su aviso, Cisco advierte que el PoC probablemente estará disponible después de que se publiquen los parches.