As vulnerabilidades do Cisco ISE podem ser encadeadas na exploração com um clique.

Várias vulnerabilidades no Cisco Identity Services Engine (ISE) podem permitir que invasores remotos injetem comandos arbitrários, ignorem as proteções de segurança existentes ou executem ataques de script entre sites (XSS).

Um controle de acesso à rede baseado em identidade (NAC) e um sistema de imposição de políticas, o Cisco ISE permite que os administradores controlem o acesso ao endpoint e gerenciem dispositivos de rede.

Um total de quatro vulnerabilidades foram identificadas por um pesquisador do ISE, a exploração de todas exigindo que um invasor seja um usuário válido e autorizado do sistema ISE.

A mais grave dessas vulnerabilidades é CVE-2022-20964, um bug de injeção de comando no recurso tcpdump da interface de gerenciamento baseada na web do ISE. O bug de alta gravidade existe porque a entrada do usuário não é validada corretamente.

“Um invasor com privilégios suficientes para acessar o recurso tcpdump pode explorar essa vulnerabilidade manipulando solicitações à interface de gerenciamento baseada na Web para conter comandos do sistema operacional”, explica a Cisco em um comunicado .

A exploração bem-sucedida dessa vulnerabilidade pode permitir que um invasor execute comandos arbitrários no sistema operacional subjacente. Se encadeado com outras falhas, o bug pode permitir que o invasor eleve privilégios de root e potencialmente assuma o sistema vulnerável.

De acordo com o pesquisador de segurança da Yoroi, Davide Virruso, que descobriu as vulnerabilidades, a Cisco destacou o impacto que o CVE-2022-20964 tem na confidencialidade, integridade e disponibilidade, uma vez que a falha de segurança pode ser explorada para obter shell root no sistema operacional.

Ao encadear CVE-2022-20964 com CVE-2022-20959 , uma falha XSS no ISE que a Cisco corrigiu em outubro, um invasor pode facilmente obter um shell raiz remoto no sistema vulnerável, disse o pesquisador de segurança à SecurityWeek .

“Basta apenas um clique da vítima no link para obter um shell como usuário root do sistema”, disse Virruso.

Rastreado como CVE-2022-20965, outro bug é descrito como um desvio de acesso na interface de gerenciamento baseada na web. De acordo com o Virruso, esse problema de controle de acesso expande a superfície de ataque dos exploits encadeados, expondo muitos usuários a ataques.

Ao explorar essa vulnerabilidade , “um invasor remoto autenticado é capaz de realizar downloads de arquivos gerados pela função, levando à divulgação de informações que ele não deveria ter acesso”, explica Yoroi.

Os defeitos de segurança restantes – CVE-2022-20966 e CVE-2022-20967 – podem levar a ataques XSS. As duas falhas foram identificadas nos recursos tcpdump e External RADIUS Server da interface de gerenciamento baseada na web, respectivamente.

Um invasor que explore essas vulnerabilidades pode armazenar HTML malicioso ou código de script na interface do aplicativo e usar esse código para ataques XSS.

A Cisco diz que os patches que abordam essas vulnerabilidades estão planejados para o primeiro trimestre de 2023, na forma dos lançamentos 3.1p6 e 3.2p1 do Cisco ISE.

A gigante da tecnologia incentiva os clientes a contatá-la para hot patches e diz que também está avaliando o possível lançamento de patches para as versões 2.7 e 3.0 do ISE.

Virruso disse à SecurityWeek que o código de prova de conceito (PoC) direcionado a essas vulnerabilidades será publicado no próximo ano. Em seu comunicado, a Cisco adverte que o PoC provavelmente ficará disponível após o lançamento dos patches.