Avertisment CISA: Vulnerabilitatea critică din Cisco BroadWorks, exploatată activ

O breșă de securitate periculoasă?

Vulnerabilitatea, înregistrată sub codul CVE-2024-20320, vizează o eroare de tip XML External Entity (XXE) în parserul Open Client Interface (OCI). Mai simplu spus, parserul nu reușește să restricționeze corect entitățile externe, permițând atacatorilor să trimită mesaje XML malițioase fără a avea nevoie de autentificare.

Rezultatul? Acces direct la informații confidențiale de configurare ale sistemelor afectate.

Cisco a făcut publică problema în august, explicând că gestionarea defectuoasă a datelor de intrare XML permite rezolvarea entităților externe.

Prin vizarea serviciului OCI-P (Open Client Interface Provisioning), hackerii pot ocoli controalele de securitate. Miercuri, CISA a inclus oficial această breșă în catalogul său de vulnerabilități exploatate activ (KEV). Conform directivei BOD 26-04, agențiile federale civile au termen până pe 24 noiembrie să își securizeze sistemele.

Deși directiva vizează instituțiile statului, CISA recomandă insistent și companiilor private să aplice patch-urile imediat pentru a preveni riscurile.

Cercetările realizate de Malbear Labs arată că un grup de hackeri vorbitori de limba chineză a exploatat deja această slăbiciune.

Inteligența Artificială în slujba atacatorilor?

Surprinzător, aceștia au utilizat o versiune „jailbroken” a modelului de AI DeepSeek Flash pentru a-și coordona operațiunile. Campania a vizat un furnizor european de telecomunicații și alte treisprezece organizații care depind de infrastructura sa de cloud și centre de date.

Atacatorii s-au concentrat pe platforma XSP (Extended Services Platform).

Aceștia au descoperit că serverul de provisioning BroadWorks, care stochează configurațiile abonaților, era expus printr-o listare de directoare neautentificată. Trimițând o cerere OCI special creată către portul 2208, atacatorii au reușit să extragă fișiere arbitrare din sistemul de fișiere al serverului.

Această manevră le-a oferit acces la cheia privată de identitate a sistemului, la trei seturi de credențiale SSL și la alte chei private.

Deținerea cheii de identitate este critică, deoarece permite atacatorului să se dea drept serverul XSP în comunicările dintre componente. Din noiembrie 2021, CISA a adăugat 103 vulnerabilități Cisco pe lista celor exploatate activ, șapte dintre acestea fiind deja asociate cu grupări de tip ransomware.