Angreifer nutzen derzeit fest einprogrammierte Zugangsdaten in Ciscos Secure Firewall Management Center aus. Die US-Behörde CISA hat die Schwachstelle bereits in ihren Katalog bekannter aktiv ausgenutzter Lücken aufgenommen. Cisco rät zur sofortigen Aktualisierung; Workarounds gibt es nicht.
Betroffen ist das Webinterface der Secure-Firewall-Management-Center-(FMC)-Software. Durch hartkodierte Zugangsdaten für ein Konto mit niedrigen Berechtigungen können Angreifer aus dem Netz auf verwundbare Instanzen und auf dort verfügbare sensible Daten zugreifen. Cisco bewertet das Risiko zwar mit „hoch“, obwohl der CVSS-Wert bei 5,3 liegt. Der Hersteller begründet die Einstufung damit, dass sich die Lücke mit anderen Schwachstellen in der Secure-FMC-Software verknüpfen lässt, um Rechte im System auszuweiten. Details dazu liefert Cisco in der Mitteilung nicht.
Die CISA hat die Schwachstelle in den „Known Exploited Vulnerabilities“-Katalog aufgenommen. Das ist ein Hinweis darauf, dass die Lücke bereits aktiv missbraucht wird. Cisco selbst spricht in seiner Mitteilung von aktiven Angriffen. Zugleich hat der Hersteller eine weitere Sicherheitsmitteilung aus dem März aktualisiert, in der es um das Ausführen von Skripten mit root-Rechten geht. In dieser Aktualisierung nennt Cisco dieselben Hotfixes und auch Indicators of Compromise, also Hinweise auf erfolgreiche Angriffe. Einen Workaround nennt der Hersteller nicht.
Das Secure Firewall Management Center ist die Verwaltungssoftware für Ciscos Firewall-Systeme. Das Webinterface ist die Benutzeroberfläche, über die sich Administratoren anmelden und Systeme verwalten. Hardkodierte Zugangsdaten sind fest einprogrammierte Anmeldedaten, die sich nicht normal ändern lassen. IOCs, also Indicators of Compromise, sind Hinweise in Systemen oder Logs, die auf einen erfolgreichen Angriff hindeuten können. Für Betreiber ist wichtig: Wenn das FMC nicht aus dem öffentlichen Internet erreichbar ist, sinkt das Risiko zwar, ausgeschlossen ist ein Angriff damit aber nicht. Mehr dazu findet sich auch in den Hinweisen zu The Circle.
Cisco nennt als einzige wirksame Maßnahme die Aktualisierung auf einen korrigierten Softwarestand. Bereitgestellt werden Hotfixes für mehrere Versionen, darunter Cisco Firepower Management Center Hotfix_GB-7.0.9.1-3 sowie Secure Firewall Management Center Hotfix_HL-7.2.11.1-4, Hotfix_HG-7.4.7.1-3, Hotfix_CY-7.6.5.1-2, Hotfix_AM-7.7.12.1-2 und Hotfix_P-10.0.1.1-2. Cisco rät IT-Verantwortlichen, die Korrekturen umgehend anzuwenden. Wenn bestimmte Log-Einträge auf Angriffe hindeuten, sollen Betroffene das Technical Assistance Center (TAC) von Cisco um Unterstützung bei der Wiederherstellung bitten.
Für Betreiber von Alarm- und Brandmeldeanlagen ist der Punkt relevant, weil auch Verwaltungssoftware für Sicherheitsinfrastruktur nicht von solchen Schwachstellen ausgenommen ist. Wer Systeme mit Cisco Secure FMC betreibt, sollte den eigenen Stand prüfen und die von Cisco genannten Hotfixes zeitnah einspielen. The Circle of Security Professionals ist ein exklusives Netzwerk von maximal 60 Errichtern, die Kooperation und Offenheit schätzen und sich mit technischen Themen wie diesen austauschen. Zu den Veranstaltungen
Quelle: Heise