Groot VPN-gat Cisco wordt morgen uiteengezet

De ontdekker van deze grote kwetsbaarheid heeft het netjes aan Cisco gemeld en presenteert morgen in Brussel zijn bevindingen. Daarbij doet hij ook de architectuur van zijn fuzzer uit de doeken. Met die geautomatiseerde softwaretesttool heeft hij Cisco’s systemen bestookt met willekeurige data om zo zwakke plekken op te sporen.

Geheugenfout

“De fuzzing architectuur kan ook gebruikt worden om andere protocollen op Cisco-apparaten te fuzzen”, meldt ontdekker Cedric Halbronn in de aankondiging van zijn presentatie. Deze openbaarmaking gebeurt wel na verantwoorde melding en de release van een patch door fabrikant Cisco.

Het gaat specifiek om een geheugenfout in SSL VPN-functionaliteit van Cisco’s Adaptive Security Appliance (ASA). Deze fout treedt alleen op als in de ASA-software de WebVPN-functie is ingeschakeld, meldt Cisco in zijn security advisory over dit beveiligingsgat. Een aanvaller kan hier misbruik van maken door meerdere, specifiek gevormde XML-packets af te vuren op Cisco-systemen.

10 op een schaal tot 10

De lijst van kwetsbare netwerkapparatuur omvat de 3000-serie van Industrial Security Appliances (ISA), de ASA 5500- en 550-X series, de ASA 1000V Cloud Firewall, maar ook de ASA Services Module voor Cisco’s Catalyst 6500-switches en 7600-routers. Cisco biedt in zijn security advisory een compleet overzicht van vatbare systemen.

De kwetsbaarheid (CVE-2018-010) is vanwege de ernst en eenvoudige misbruikbaarheid een CVSS-score (Common Vulnerability Scoring System) van 10.0 gegeven. Dat cijfer is het hoogst haalbare in deze industriebrede kwetsbaarheidsindeling. Er zijn namelijk geen workarounds om de kwetsbaarheid af te dekken, meldt Cisco.

Fix verkrijgen

Netwerkleverancier Cisco heeft net begin deze week een fix uitgebracht, maar beheerders moeten deze eerst verkrijgen en dan nog toepassen. Updates die het grote beveiligingsgat dichten, zijn namelijk niet simpelweg te downloaden, waarschuwt The Register. Beschikbaarheid loopt via Cisco of via resellers waar gebruikers hun netwerkapparatuur hebben gekocht.