Cisco ha emitido un aviso de seguridad sobre una vulnerabilidad crítica, identificada como CVE-2023-20198, que afecta al software Cisco IOS XE WebUI. La falla no tiene parche disponible y está siendo explotada activamente por actores maliciosos. Se estima que hay miles de dispositivos vulnerables y ya comprometidos.
Características de la vulnerabilidad
La vulnerabilidad, arraigada en la función de interfaz de usuario web, permite a un atacante remoto y no autenticado crear una cuenta con acceso de nivel de privilegio 15. Con esta cuenta, el atacante puede hacerse con el control del sistema afectado.
El problema afecta tanto a dispositivos físicos como virtuales que ejecutan Cisco IOS XE y tienen habilitada la función de servidor HTTP o HTTPS. Se recomienda desactivar dicha función en sistemas conectados a Internet como medida de mitigación.
Actividad maliciosa detectada
Cisco descubrió el problema tras detectar actividad sospechosa en un dispositivo de cliente no identificado. La actividad inusual se inició el 18 de septiembre de 2023 y terminó el 1 de octubre del mismo año.
En otro caso, se detectó una actividad relacionada el 12 de octubre de 2023, en la que un usuario no autorizado creó una cuenta con nombre «cisco_support» desde una dirección IP diferente. Esta acción fue seguida por la instalación de un implante basado en LUA.
Explotación y persistencia del implante
El implante se logra explotando CVE-2021-1435, una vulnerabilidad ahora parcheada. Sin embargo, el mecanismo exacto de explotación en sistemas completamente parcheados aún no está claro.
La puerta trasera del implante se guarda en la ruta «/usr/binos/conf/nginx-conf/cisco_service.conf», pero no es persistente. Esto significa que no sobrevivirá al reinicio del dispositivo, aunque las cuentas privilegiadas fraudulentas creadas siguen activas.
Recomendaciones y acciones
Cisco recomienda a las organizaciones vigilar la presencia de usuarios sospechosos en dispositivos Cisco IOS XE como posible indicio de explotación. También proporciona un comando para verificar la presencia del implante:
curl -k -X POST "https[:]//DEVICEIP/webui/logoutconfirm.html?logon_hash=1"Cisco atribuye los dos conjuntos de actividades a un mismo actor de amenazas, aunque la identidad exacta del adversario aún no está clara.