Cisco emitió un comunicado el lunes 16 de octubre alertando sobre una vulnerabilidad zero-day crítica. La vulnerabilidad se identificó como CVE-2023-20198 y tiene una puntuación máxima de 10.0 en el sistema CVSS.
Vulnerabilidad afecta a dispositivos con interfaz web habilitada
La vulnerabilidad afecta al software IOS XE y está relacionada con la característica de interfaz de usuario web. Solo afecta a equipos de red empresarial que tengan habilitada la interfaz de usuario web y estén expuestos a Internet o redes no confiables.
Actividad maliciosa detectada desde septiembre
Cisco descubrió la vulnerabilidad tras detectar actividad maliciosa en un dispositivo de cliente no identificado desde el 18 de septiembre de 2023. Un usuario autorizado creó una cuenta de usuario local con el nombre «cisco_tac_admin» desde una dirección IP sospechosa, y esta actividad se detuvo el 1 de octubre de 2023.
Segundo grupo de actividades detectado en octubre
En un segundo grupo de actividades detectadas el 12 de octubre de 2023, un usuario no autorizado creó una cuenta con el nombre «cisco_support» desde una dirección IP diferente.
Explotación mediante vulnerabilidad ya parcheada
La instalación del implante se logra mediante la explotación de CVE-2021-1435, una falla ya parcheada que afecta a la interfaz de usuario web del software Cisco IOS XE. Se utilizó un mecanismo aún no identificado en casos donde el sistema está completamente parcheado contra CVE-2021-1435.
Implante requiere reinicio para activarse
Para que el implante se active, el servidor web debe reiniciarse. En al menos un caso observado, el servidor no se reinició, por lo que el implante nunca se activó a pesar de estar instalado.
Backdoor guardada en ruta específica
La backdoor está guardada en la ruta de archivo «/usr/binos/conf/nginx-conf/cisco_service.conf» y no es persistente.
Atribución a actor de amenazas incierto
Cisco atribuyó los dos conjuntos de actividades presumiblemente al mismo actor de amenazas, aunque el origen exacto sigue siendo incierto. La Agencia de Seguridad Cibernética e Infraestructura de los Estados Unidos (CISA) emitió un aviso y incluyó la falla en el catálogo de Vulnerabilidades Explotadas Conocidas (KEV).
Riesgos asociados a la vulnerabilidad
Permite a un atacante remoto y no autenticado crear una cuenta en un sistema afectado con acceso de nivel 15. El atacante puede usar esa cuenta para tomar el control del sistema afectado.
Recomendación de mitigación
Se recomienda desactivar la función del servidor HTTP en sistemas expuestos a Internet.