Cisco a mis en garde contre une faille de s\u00e9curit\u00e9 critique et non corrig\u00e9e affectant le logiciel IOS XE et qui est activement exploit\u00e9e dans la nature.<\/p>\n
Ancr\u00e9e dans la fonctionnalit\u00e9 de l’interface utilisateur Web, la vuln\u00e9rabilit\u00e9 du jour z\u00e9ro est attribu\u00e9e comme CVE-2023-20198<\/a> et s’est vu attribuer la cote de gravit\u00e9 maximale de 10,0 sur le syst\u00e8me de notation CVSS.<\/p>\n Il convient de souligner que cette lacune n’affecte que les \u00e9quipements r\u00e9seau d’entreprise sur lesquels la fonctionnalit\u00e9 d’interface utilisateur Web est activ\u00e9e et lorsqu’ils sont expos\u00e9s \u00e0 Internet ou \u00e0 des r\u00e9seaux non fiables.<\/p>\n “Cette vuln\u00e9rabilit\u00e9 permet \u00e0 un attaquant distant non authentifi\u00e9 de cr\u00e9er un compte sur un syst\u00e8me affect\u00e9 avec des privil\u00e8ges acc\u00e8s niveau 15<\/a>“, Cisco dit<\/a> dans un avis de lundi. “L’attaquant peut alors utiliser ce compte pour prendre le contr\u00f4le du syst\u00e8me affect\u00e9.”<\/p>\n Le probl\u00e8me affecte \u00e0 la fois les appareils physiques et virtuels ex\u00e9cutant le logiciel Cisco IOS XE sur lesquels la fonctionnalit\u00e9 de serveur HTTP ou HTTPS est \u00e9galement activ\u00e9e. \u00c0 titre d’att\u00e9nuation, il est recommand\u00e9 de d\u00e9sactiver la fonctionnalit\u00e9 du serveur HTTP sur les syst\u00e8mes connect\u00e9s \u00e0 Internet.<\/p>\n Le g\u00e9ant des \u00e9quipements r\u00e9seau a d\u00e9clar\u00e9 avoir d\u00e9couvert le probl\u00e8me apr\u00e8s avoir d\u00e9tect\u00e9 une activit\u00e9 malveillante sur un appareil client non identifi\u00e9 d\u00e8s le 18 septembre 2023, dans lequel un utilisateur autoris\u00e9 a cr\u00e9\u00e9 un compte utilisateur local sous le nom d’utilisateur \u00ab cisco_tac_admin \u00bb \u00e0 partir d’une adresse IP suspecte. L’activit\u00e9 inhabituelle a pris fin le 1er octobre 2023.<\/p>\n Dans un deuxi\u00e8me groupe d’activit\u00e9s connexes rep\u00e9r\u00e9 le 12 octobre 2023, un utilisateur non autoris\u00e9 a cr\u00e9\u00e9 un compte d’utilisateur local sous le nom \u00ab cisco_support \u00bb \u00e0 partir d’une adresse IP diff\u00e9rente.<\/p>\n Cela aurait \u00e9t\u00e9 suivi d’une s\u00e9rie d’actions qui ont abouti au d\u00e9ploiement d’un implant bas\u00e9 sur Lua qui permet \u00e0 l’acteur d’ex\u00e9cuter des commandes arbitraires au niveau du syst\u00e8me ou au niveau de l’IOS. <\/p>\n La pose de l’implant est r\u00e9alis\u00e9e en exploitant CVE-2021-1435<\/a>une faille d\u00e9sormais corrig\u00e9e affectant l’interface utilisateur Web du logiciel Cisco IOS XE, ainsi qu’un m\u00e9canisme encore ind\u00e9termin\u00e9 dans les cas o\u00f9 le syst\u00e8me est enti\u00e8rement corrig\u00e9 contre CVE-2021-1435.<\/p>\n \u00ab Pour que l’implant devienne actif, le serveur Web doit \u00eatre red\u00e9marr\u00e9 ; dans au moins un cas observ\u00e9, le serveur n’a pas \u00e9t\u00e9 red\u00e9marr\u00e9, de sorte que l’implant n’est jamais devenu actif malgr\u00e9 son installation \u00bb, Cisco dit<\/a>.<\/p>\n La porte d\u00e9rob\u00e9e, enregistr\u00e9e sous le chemin du fichier \u00ab \/usr\/binos\/conf\/nginx-conf\/cisco_service.conf \u00bb, n’est pas persistante, ce qui signifie qu’elle ne survivra pas au red\u00e9marrage de l’appareil. Cela dit, les comptes privil\u00e9gi\u00e9s malveillants cr\u00e9\u00e9s restent actifs.<\/p>\n Cisco a attribu\u00e9 les deux s\u00e9ries d’activit\u00e9s au m\u00eame acteur mena\u00e7ant, bien que les origines exactes de l’adversaire soient actuellement floues.<\/p>\n “Le premier cluster \u00e9tait peut-\u00eatre la tentative initiale de l’acteur de tester son code, tandis que l’activit\u00e9 d’octobre semble montrer que l’acteur \u00e9tendait ses op\u00e9rations pour inclure l’\u00e9tablissement d’un acc\u00e8s persistant via le d\u00e9ploiement de l’implant”, a not\u00e9 la soci\u00e9t\u00e9.<\/p>\n Cette \u00e9volution a incit\u00e9 l’Agence am\u00e9ricaine de cybers\u00e9curit\u00e9 et de s\u00e9curit\u00e9 des infrastructures (CISA) \u00e0 \u00e9mettre un consultatif<\/a> et ajouter le d\u00e9faut<\/a> aux vuln\u00e9rabilit\u00e9s exploit\u00e9es connues (KEV<\/a>) catalogue.<\/p>\n En avril 2023, les agences de cybers\u00e9curit\u00e9 et de renseignement britanniques et am\u00e9ricaines ont alert\u00e9 sur des campagnes parrain\u00e9es par l’\u00c9tat ciblant l’infrastructure des r\u00e9seaux mondiaux, avec Cisco d\u00e9clarant<\/a> que les appareils Route\/switch sont une \u00ab cible parfaite pour un adversaire qui cherche \u00e0 la fois \u00e0 \u00eatre silencieux et \u00e0 avoir acc\u00e8s \u00e0 d\u2019importantes capacit\u00e9s de renseignement ainsi qu\u2019\u00e0 prendre pied dans un r\u00e9seau privil\u00e9gi\u00e9 \u00bb.<\/p>\n <\/p>\n![\"La](\"https:\/\/teknomers.com\/fr\/wp-content\/uploads\/2023\/10\/Avertissement-vulnerabilite-Cisco-Zero-Day-non-corrigee-activement-ciblee-dans-la.jpg\")
<\/a><\/center><\/div>\n<\/a><\/center><\/div>\n