Vulnérabilité critique affectant Cisco IOS XE

TitreVulnérabilité critique affectant Cisco IOS XE
Numéro de Référence
44381710/23
Date de publication
17 octobre 2023
Niveau de Risque
Critique
Niveau d'Impact
Critique

Systèmes affectés:

  • Cisco IOS XE avec la fonction « web UI » activée

Identificateurs externes:

  • CVE-2023-20198

Bilan de la vulnérabilité:

Cisco confirme une exploitation massive d'une vulnérabilité critique de type zero-day dans la fonctionnalité web UI du logiciel Cisco IOS XE lorsqu'elle est exposée à l'internet ou à des réseaux non fiables. Cette vulnérabilité affecte le logiciel Cisco IOS XE si la fonction web UI est activée. La fonction d'interface utilisateur Web est activée via les commandes « ip http server ou ip http secure-server ».

 

Cette vulnérabilité permet à un attaquant distant non authentifié de créer un compte sur un système affecté avec un accès de niveau de privilège 15. L'attaquant peut alors utiliser ce compte pour prendre le contrôle du système affecté.

 

Solution:

Cisco recommande vivement de désactiver la fonction de serveur HTTP sur tous les systèmes connectés à Internet. Pour désactiver la fonction de serveur HTTP, utilisez la commande « no ip http server ou no ip http secure-server » en mode de configuration globale. Si le serveur HTTP et le serveur HTTPS sont tous deux utilisés, les deux commandes sont nécessaires pour désactiver la fonction de serveur HTTP.

L'arbre de décision suivant peut être utilisé pour déterminer comment trier un environnement et déployer des protections :

  • Utilisez-vous IOS XE ?
    • Non. Le système n'est pas vulnérable. Aucune autre action n'est nécessaire.
    • Oui. ip http server ou ip http secure-server est-il configuré ?
      • Non. La vulnérabilité n'est pas exploitable. Aucune autre action n'est nécessaire.
      • Oui. Utilisez-vous des services qui nécessitent une communication HTTP/HTTPS (par exemple, eWLC) ?
        • Non. Désactivez la fonction de serveur HTTP.
        • Oui. Si possible, limitez l'accès à ces services à des réseaux de confiance.

Risque:

  • Exécution de code arbitraire à distance ;
  • Accès aux informations confidentielles,
  • Prise de contrôle du système affecté

Référence:

Bulletin de sécurité Cisco du 16 Octobre 2023:

DGSSI2024 All rights reserved