Los investigadores han descubierto una grave vulnerabilidad en los productos de Cisco que podría permitir a los atacantes implantar puertas traseras persistentes en dispositivos de amplio rango utilizados en empresas y redes gubernamentales, incluidos enrutadores, conmutadores y cortafuegos.
Apodado Thrangrycat o ???, la vulnerabilidad, descubierta por investigadores de la empresa de seguridad Red Balloon e identificada como CVE-2019-1649, afecta a varios productos de Cisco que admiten el módulo Trust Anchor (TAm).
El módulo Trust Anchor (TAm) es una funcionalidad de inicio seguro basada en hardware implementada en casi todos los dispositivos empresariales de Cisco desde 2013 que garantiza que el firmware que se ejecuta en las plataformas de hardware sea auténtico y no haya sido modificado.
Sin embargo, los investigadores encontraron una serie de fallas en el diseño del hardware que podrían permitir que un atacante autenticado realice la modificación persistente del módulo Trust Anchor mediante la modificación del flujo de bits FPGA y cargue el cargador de arranque malicioso.
«Un atacante con privilegios de root en el dispositivo puede modificar el contenido del flujo de bits de anclaje FPGA, que se almacena sin protección en la memoria flash. Los elementos de este flujo de bits se pueden modificar para deshabilitar la funcionalidad crítica en el TAm», dijeron los investigadores.
«La modificación exitosa del flujo de bits es persistente, y el Ancla de confianza se desactivará en las siguientes secuencias de arranque. También es posible bloquear cualquier actualización de software al flujo de bits de TAm».
Encadenamiento con errores remotos: no se requiere acceso físico
Dado que la explotación de la vulnerabilidad requiere privilegios de raíz, un aviso publicado por Cisco destacó que solo un atacante local con acceso físico al sistema de destino podría escribir una imagen de firmware modificada en el componente.
Sin embargo, los investigadores de Red Balloon explicaron que los atacantes también podrían explotar la vulnerabilidad de Thrangrycat de forma remota encadenándola con otras fallas que podrían permitirles obtener acceso de root o, al menos, ejecutar comandos como root.
Para demostrar este ataque, los investigadores revelaron una vulnerabilidad de RCE ( CVE-2019-1862) en la interfaz de usuario basada en la web del sistema operativo IOS de Cisco que permite a un administrador conectado ejecutar comandos arbitrarios de forma remota en el shell de Linux subyacente de un dispositivo afectado con privilegios de raíz.
Después de obtener acceso a la raíz, el administrador malintencionado puede omitir de forma remota el módulo Trust Anchor (TAm) en un dispositivo específico utilizando la vulnerabilidad de Thrangrycat e instalar una puerta trasera maliciosa.
Esto es lo que hace que esta vulnerabilidad sea más grave:
«Al encadenar ??? y las vulnerabilidades de inyección remota de comandos, un atacante puede eludir de manera remota y persistente el mecanismo de arranque seguro de Cisco y bloquear todas las futuras actualizaciones de software para el TAm», dijeron los investigadores.
«Dado que las fallas residen en el diseño del hardware, es poco probable que cualquier parche de seguridad del software resuelva completamente la vulnerabilidad de seguridad fundamental».
Mientras los investigadores probaron las vulnerabilidades contra los enrutadores Cisco ASR 1001-X, cientos de millones de unidades de Cisco que ejecutan un TAm basado en FPGA en todo el mundo, que incluye todo desde enrutadores empresariales hasta conmutadores de red y cortafuegos, son vulnerables.
Red Balloon Security informó de forma privada los problemas a Cisco en noviembre de 2018 y solo publicó algunos detalles al público después de que Cisco emitió parches de firmware para solucionar ambos defectos y enumeró todos los productos afectados.
Cisco dijo que la compañía no detectó ataques que explotaran ninguna de estas dos vulnerabilidades.
Los detalles completos de las vulnerabilidades se publicarán en la conferencia de seguridad Black Hat USA de este año en agosto.
Fuente: thehackernews.com
