Beschrijving

De Nederlandse Militaire Inlichtingen en Veiligheidsdienst (MIVD) heeft een bericht uitgebracht waarin het misbruik van een FortiOS-kwetsbaarheid uit 2022 (CVE-2022-42475) beschrijft. In het geval van de door MIVD waargenomen aanval, werd de kwetsbaarheid uitgebuit om een Remote Access Trojan (RAT) te installeren op een kwetsbaar Fortigate-device.

Naar aanleiding van de berichtgeving heeft Pinewood diverse vragen ontvangen. Een aantal zaken is hierbij belangrijk te benoemen:

• De misbruikte kwetsbaarheid was bekend en is in November 2022 door Fortinet verholpen middels updates. Op dat moment gaf Fortinet al aan dat er actief misbruik werd gemaakt van de kwetsbaarheid.
• De aanval die de MIVD beschrijft vond plaats in 2023, dus na het bekend worden van de kwetsbaarheid en het beschikbaar komen van updates. De MIVD geeft tevens aan dat het vermoedelijk om een gerichte aanval gaat waarbij de betreffende malware naar alle waarschijnlijkheid alleen is geïnstalleerd bij een selecte groep aan slachtoffers.
• Pinewood heeft ten tijde van het bekend worden van de kwetsbaarheid een security bulletin uitgebracht met het advies de door Fortinet uitgebrachte updates te installeren.
• Voor klanten met een Managed Security Services contract heeft Pinewood destijds direct actie ondernomen om de kwetsbaarheid weg te nemen.
• Het Pinewood SOC heeft destijds detectieregels geïmplementeerd teneinde misbruik van de kwetsbaarheid te kunnen detecteren.

Indien Fortigate devices ten tijde van het bekend worden van de kwetsbaarheid voorzien zijn van de updates, is er geen aanleiding te denken dat deze via de beschreven campagne zijn gecompromitteerd.

Kwetsbare versies

De kwetsbaarheid is verholpen met updates voor FortiOS 7.2, 7.0, 6.4 en 6.2 series. Deze zijn uitgebracht tussen 1-22 november 2022. Onderstaande versies van FortiOS bevatten de kwetsbaarheid:

• FortiOS 7.2.0 – 7.2.2
• FortiOS 7.0.0 – 7.0.8
• FortiOS 6.4.0 – 6.4.10
• FortiOS 6.2.0 – 6.2.11
• FortiOS-6K7K 7.0.0 – 7.0.7
• FortiOS-6K7K 6.4.0 – 6.4.9
• FortiOS-6K7K 6.2.0 – 6.2.11
• FortiOS-6K7K 6.0.0 – 6.0.14

Oplossingen en tijdelijke mitigaties

Installeer de laatste versie van FortiOS om de kwetsbaarheid te verhelpen.

Detectie van mogelijk misbruik

De incidentbeschrijving die de MIVD heeft uitgebracht bevat diverse controles om te achterhalen of een Fortigate is gecompromitteerd tijdens de betreffende campagne. Een uitgebreide beschrijving hiervan is terug te vinden in het MIVD-bulletin. Samengevat komt het erop neer dat een aantal commando’s via de Fortigate CLI moeten worden uitgevoerd:

• Controleer of de bestanden /bin/smartctl of /data/bin/smartctl bestaan door het uitvoeren van onderstaande commando’s:fnsysctl ls -la /bin
  fnsysctl ls -la /data/bin

  Indien de betreffende bestanden bestaan en de timestamps hierop aangeven dat deze bestanden een stuk nieuwer zijn dan andere bestanden in dezelfde directories, bestaat het vermoeden dat deze zijn aangepast. Noot: het MIVD-rapport beschrijft ook dat als smartctl geen symlink is, dit een indicatie vormt dat het bestand is aangepast. Dit lijkt echter niet op te gaan voor recente Fortigate devices.

• Controleer welke TCP-verbindingen er vanuit de Fortigate bestaan door het uitvoeren van het onderstaande commando:diagnose sys tcpsock
  
  Indien er uitgaande verbindingen te zien zijn is het zaak te onderzoeken richting welke IP-adressen dit gebeurt (en of verbindingen met deze IP-adressen verwacht zijn). Zeker indien de verbindingen zijn opgezet vanuit het proces httpsd bestaat het vermoeden dat het hier om malafide verbindingen gaat.
• Controleer op de aanwezigheid van httpsd-processen. Het is bekend dat de malware deze procesnaam gebruikt om haar aanwezigheid te verbergen. Voer hiertoe de volgende commando’s uit:Voor het opvragen van alle process ID’s (PID’s) van processen genaamd httpsd:
  diagnose sys process pidof httpsd

  Voor het tonen van procesinformatie van verdachte PID‘s:
  diagnose sys process dump <PID>

  Indien de Gid van een dergelijk proces 90 is of als er processen te zien met deleted verwijzingen naar /data2/httpsd of /data2/.bd.key/preload.so, is het systeem volgens de MIVD zeker besmet met de gevonden malware. Tip: voer bovenstaand commando uit met achtereenvolgens de toevoegingen | grep -i Gid en | grep -i data om een beter overzicht te krijgen.

• Controleer op verwijzingen naar /lib/preload.so in PID 1 door het uitvoeren van onderstaand commando:diagnose sys process dump 1

Indien in de uitvoer van dit commando deleted verwijzingen terug te vinden zijn naar /lib/preload.so vormt dit een sterke indicatie van de aanwezigheid van de malware.

Daarnaast heeft Fortinet ten tijde van het bekend worden van de kwetsbaarheid ook een aantal checks beschreven die kunnen worden uitgevoerd om te controleren of een device mogelijk gecompromitteerd is:

• Controleer of er applicatie crashes zijn geregistreerd van de sslvpnd daemon rond de tijd dat het systeem kwetsbaar was. Doe dit door het uitvoeren van onderstaand commando:diagnose debug crashlog read | grep -i sslvpn
• Controleer op de aanwezigheid van onderstaande bestanden:/data/lib/libips.bak

/data/lib/libgif.so

/data/lib/libiptcp.so

/data/lib/libipudp.so

/data/lib/libjepg.so

/var/.sslvpnconfigbk

/data/etc/wxd.conf

/flash

• Controleer op de aanwezigheid van verdachte uitgaande verbindingen. Deze check was ook al beschreven in de lijst met checks vanuit het MIVD-rapport.

Meer informatie

• https://www.ncsc.nl/actueel/nieuws/2024/februari/6/nieuwe-malware-benadrukt-aanhoudende-interesse-in-edge-devices
• https://www.ncsc.nl/documenten/publicaties/2024/februari/6/mivd-aivd-advisory-coathanger-tlp-clear
• https://advisories.ncsc.nl/advisory?id=NCSC-2022-0763
• https://www.fortiguard.com/psirt/FG-IR-22-398
• https://olympecyberdefense.fr/vpn-ssl-fortigate/ (FR)

Managed Security Services (MSS) klanten

Als u een Pinewood Managed Security Services contract heeft zal Pinewood aanvullende controles uitvoeren op Fortigate devices.

Vragen

Voor vragen over deze security bulletin kunt u contact opnemen met de Pinewood Servicedesk. De servicedesk is bereikbaar via +31 15 251 36 33 en via support@pinewood.nl.

===== ENGLISH =====

Description

The Dutch Ministry of Defence (MOD) released a report in which they describe the exploitation of a vulnerability in FortiOS from 2022 (CVE-2022-42475). In the case of the incident that was found by the MOD, this vulnerability was exploited to install a Remote Access Trojan (RAT) on a vulnerable Fortigate device.

Pinewood received several questions from customers as a result of this report. The following facts are important to take into consideration:

• The vulnerability that was exploited was already known and was fixed via FortiOS updates released by Fortinet in November 2022.
• The attack described by the MOD took place in 2023, so after details about the vulnerability emerged and after updates were released. The MOD also reports that the attack seems to be targeted whereby the malware was probably only installed on the devices of a select group of victims.
• At the time of the update, Pinewood released a security bulletin urging all Fortinet users to install the updates released by Fortinet.
• At the time of the update, Pinewood installed updates on Fortigate devices of customers with a Managed Security Service contract.
• The Pinewood SOC implemented additional detection rules at the time of the update to be able to detect exploitation of the vulnerability.

If Fortigate devices were patched at the time that the updates were released, there is no reason to believe that these devices were compromised during the campaign.

Vulnerable versions

The vulnerability was patched with new versions of the 7.2, 7.0, 6.4 and 6.2 series. These were released between 1 and 22 November 2022. The following versions of FortiOS are vulnerable:

• FortiOS 7.2.0 – 7.2.2
• FortiOS 7.0.0 – 7.0.8
• FortiOS 6.4.0 – 6.4.10
• FortiOS 6.2.0 – 6.2.11
• FortiOS-6K7K 7.0.0 – 7.0.7
• FortiOS-6K7K 6.4.0 – 6.4.9
• FortiOS-6K7K 6.2.0 – 6.2.11
• FortiOS-6K7K 6.0.0 – 6.0.14

Solutions and workarounds

Install the latest version of FortiOS to fix the vulnerability.

Detection of possible misuse

The MOD report describes several ways to see if a Fortigate device was also compromised by the same campaign. An extensive write up of the steps can be found in the MOD report. Basically, a number of commands must be executed via the Fortigate CLI:

• Check if the files /bin/smartctl or /data/bin/smartctl exist on the device by executing the following commands:fnsysctl ls -la /bin
  fnsysctl ls -la /data/bin

  If the files do exist and the timestamp on the files indicate that these are newer than the majority of other files, it is likely that the binary was tampered with. Note: the MOD report also states that smartctl not being a symlink is an indication that the file was tampered with. However, this does not seem to be an indication on recent Fortigate devices.

• Check which TCP connections are made from the Fortigate to external IP’s using the following command:diagnose sys tcpsock
  
  If outgoing connections are found, it is important to check which IP addresses are involved (and if connections towards these IP addresses are expected). Especially if connections are made from the process httpsd, these connections are considered suspicious.
• Check for the existence of processes named httpsd. It is known that the malware uses this process name to hide its existence. To do so, execute the following commands:To request the process IDs  (PIDs) of all processes named httpsd:
  diagnose sys process pidof httpsd
  
  To display process information for all suspicious PIDs:
  diagnose sys process dump <PID>
  
  If the Gid of a suspicious process is 90 or if processes are found using deleted entries towards /data2/httpsd or /data2/.bd.key/preload.so, the device is probably infected with the malware (according to the MOD). Note: you can execute the command with the additions | grep -i Gid and | grep -i data to filter out the relevant data.
• Check all references to /lib/preload.so in PID 1 by executing the following command:diagnose sys process dump 1
  
  If (deleted) references to /lib/preload.so are found, this should be considered a strong indication that the malware was deployed on the device.

In addition, Fortinet already described a set of checks at the time that the vulnerability was disclosed. These checks also help to determine if a device was compromised:

• Check for application crashes of the sslvpnd daemon around the time that the system was vulnerable. You can do so by issuing the following command:diagnose debug crashlog read | grep -i sslvpn
• Check for the existence of the following files:/data/lib/libips.bak

/data/lib/libgif.so

/data/lib/libiptcp.so

/data/lib/libipudp.so

/data/lib/libjepg.so

/var/.sslvpnconfigbk

/data/etc/wxd.conf

/flash

• Check for suspicious outgoing connections. This check was already described in the list of checks from the MOD report.

More information

• https://www.ncsc.nl/actueel/nieuws/2024/februari/6/nieuwe-malware-benadrukt-aanhoudende-interesse-in-edge-devices
• https://www.ncsc.nl/documenten/publicaties/2024/februari/6/mivd-aivd-advisory-coathanger-tlp-clear
• https://advisories.ncsc.nl/advisory?id=NCSC-2022-0763
• https://www.fortiguard.com/psirt/FG-IR-22-398
• https://olympecyberdefense.fr/vpn-ssl-fortigate/ (FR)

Managed Security Services (MSS) customers

If you have a Pinewood Managed Security Services contract, Pinewood will conduct additional checks on Fortigate devices.

Questions

For questions about this security bulletin, please contact the Pinewood Service desk. The service desk can be contacted at +31 15 251 36 33 and via support@pinewood.nl.

Beschrijving

Er bevindt zich een ernstige kwetsbaarheid (CVE-2023-22527) in Atlassian Confluence Data Center en Server die kwaadwillenden kunnen misbruiken om op afstand willekeurige code uit te voeren op het kwetsbare systeem. Om misbruik te kunnen maken van de kwetsbaarheden hoeft een aanvaller zich niet te authenticeren, wat de kans op misbruik sterk vergroot.

Pinewood verwacht op korte termijn aanvalscode aangezien het type kwetsbaarheid (template injection) ook in het verleden vaak eenvoudig misbruikt is.

Kwetsbare versies

De kwetsbaarheid bevindt zich in versies van beide producten die voor 5 december 2023 zijn uitgebracht. Indien op het systeem een reguliere update van ná die datum is geïnstalleerd, is de kwetsbaarheid niet meer aanwezig. De onderstaande versies van Confluence Server en Data Center bevatten de genoemde kwetsbaarheid:

• 8.0 (alle versies)
• 8.1 (alle versies)
• 8.2 (alle versies)
• 8.3 (alle versies)
• 8.4 (alle versies)
• 8.5.0 t/m 8.5.3

Cloud-installaties, herkenbaar aan het atlassian.net-domein, zijn niet (meer) kwetsbaar.

Oplossingen en tijdelijke mitigaties

De kwetsbaarheid is verholpen in onderstaande versies die al december 2023 zijn uitgebracht:

• Confluence Server en Data Center 8.5.4
• Confluence Data Center 8.6.0
• Confluence Data Center 8.7.1

Er zijn geen tijdelijke mitigaties bekend die misbruik van de kwetsbaarheid kunnen voorkomen.

Detectie van mogelijk misbruik

Atlassian geeft aan dat het lastig is om alle tekenen van mogelijk misbruik te beschrijven vanwege het feit dat er meerdere manieren voor misbruik bestaan.

Meer informatie

• https://confluence.atlassian.com/security/cve-2023-22527-rce-remote-code-execution-vulnerability-in-confluence-data-center-and-confluence-server-1333990257.html
• https://confluence.atlassian.com/kb/faq-for-cve-2023-22527-1332810917.html

Vragen

Voor vragen over deze security bulletin kunt u contact opnemen met het Pinewood Security Operations Center (SOC). Het Pinewood SOC is bereikbaar via +31 15 251 36 33 en via soc@pinewood.nl.

===== ENGLISH =====

Description

A critical vulnerability (CVE-2023-22527) was fixed in Atlassian Confluence Data Center and Server, which an attacker can exploit for remote code execution. Exploitation does not require authentication to the server, which increases the likelihood of exploitation.

Pinewood expects exploit code in the short term as this type of vulnerability (template injection) has proven to be easily exploitable in the past.

Vulnerable versions

The vulnerability exists in versions of the products released before 5 December 2023. If a regular update is installed on the system that was released after this date, the vulnerability is already patched. The following versions of Confluence Server and Data Center are impacted by the vulnerability:

• 8.0 (all versions)
• 8.1 (all versions)
• 8.2 (all versions)
• 8.3 (all versions)
• 8.4 (all versions)
• 8.5.0 up to and including 8.5.3

Cloud installations, identified by the atlassian.net domain, are not vulnerable (anymore).

Solutions and workarounds

The vulnerability is fixed in the following versions of Confluence which were already released in December 2023:

• Confluence Server and Data Center 8.5.4
• Confluence Data Center 8.6.0
• Confluence Data Center 8.7.1

Detection of possible misuse

Atlassian states that the possibility of multiple entry points, along with chained attacks, makes it difficult to list all possible indicators of compromise.

More information

• https://confluence.atlassian.com/security/cve-2023-22527-rce-remote-code-execution-vulnerability-in-confluence-data-center-and-confluence-server-1333990257.html
• https://confluence.atlassian.com/kb/faq-for-cve-2023-22527-1332810917.html

Questions

For questions about this security bulletin, please contact the Pinewood Security Operations Center (SOC). The Pinewood SOC can be contacted at +31 15 750 1331 and via soc@pinewood.nl.

Beschrijving

Er bevinden zich twee ernstige kwetsbaarheden in Ivanti Connect Secure (ICS) (voorheen bekend als Pulse Connect Secure), Ivanti Policy Security en Ivanti ZTA gateways. Deze kwetsbaarheden bevinden zich in alle ondersteunde versies van deze producten. De kwetsbaarheden stellen een kwaadwillende in staat om een systeem over te nemen en zich toegang te verschaffen tot het netwerk. De kwetsbaarheden werden reeds op kleine, gerichte schaal misbruikt voordat Ivanti de kwetsbaarheden heeft kunnen verhelpen.

De eerste kwetsbaarheid (CVE-2023-46805) stelt een kwaadwillende in staat om de authenticatie op het systeem te omzeilen, zelfs als het systeem is ingesteld voor het afdwingen van multifactorauthenticatie. De tweede kwetsbaarheid (CVE-2024-21887) betreft een commandinjectie-kwetsbaarheid die een aanvaller in staat stelt om willekeurige commando’s op het systeem uit te voeren. Normaal gesproken is deze tweede kwetsbaarheid alleen te misbruiken door een geauthenticeerde beheerder, maar in combinatie met de eerste kwetsbaarheid is het mogelijk om deze kwetsbaarheid uit te buiten zonder authenticatie.

Kwetsbare versies

Alle ondersteunde versies van Ivanti Connect Secure, Ivanti Policy Security en Ivanti ZTA gateways bevatten de kwetsbaarheden. Ook niet-ondersteunde versies zijn mogelijk kwetsbaar. Onderstaande lijst toont de versies die in ieder geval kwetsbaar zijn en waarvoor Ivanti in de komende weken updates zal uitbrengen:

• 9.1
• 22.1
• 22.2
• 22.3
• 22.4
• 22.5
• 22.6

Misbruik

Volgens Ivanti maken aanvallers op dit moment op zeer beperkte schaal misbruik van deze kwetsbaarheid. Misbruik zou te herkennen zijn aan het feit dat een legitiem CGI-bestand (compcheck.cgi) is aangepast en JavaScript is toegevoegd aan de Web SSL VPN code op het systeem, teneinde de inloggegevens van gebruikers te kunnen onderscheppen. In totaal zouden minder dan 10 klanten van het bedrijf door de aanval geraakt zijn. Nu details m.b.t. deze kwetsbaarheid bekend zijn geworden, is de kans groot dat ook andere actoren zullen proberen om de details van deze kwetsbaarheid te achterhalen (en te misbruiken).

Oplossingen en tijdelijke mitigaties

Ivanti heeft aangegeven dat het in de komende weken (in de periode 22 januari t/m 19 februari) patches zal uitbrengen voor de verschillende versies van de kwetsbare producten. Om in de tussentijd misbruik van de kwetsbaarheid te voorkomen, is het essentieel om een mitigerende workaround door te voeren. Deze workaround bestaat uit het toepassen van een XML-bestand op kwetsbare systemen. Zie het artikel van Ivanti voor instructies voor het toepassen van deze XML.

Detectie van mogelijk misbruik

Ivanti raadt aan gebruik te maken van de Ivanti Integrity Checker Tool (ICT) om de integriteit van een systeem te verifiëren. Daarnaast zijn er door Volexity aanvullende indicatoren beschikbaar gesteld – waaronder IP-adressen en domeinnamen – die kunnen helpen om eventueel misbruik te herkennen.

Meer informatie

• https://forums.ivanti.com/s/article/CVE-2023-46805-Authentication-Bypass-CVE-2024-21887-Command-Injection-for-Ivanti-Connect-Secure-and-Ivanti-Policy-Secure-Gateways?language=en_US
• https://forums.ivanti.com/s/article/KB-CVE-2023-46805-Authentication-Bypass-CVE-2024-21887-Command-Injection-for-Ivanti-Connect-Secure-and-Ivanti-Policy-Secure-Gateways?language=en_US
• https://forums.ivanti.com/s/article/Download-Links-Related-to-CVE-2023-46805-and-CVE-2024-21887 (authenticatie vereist)
• https://www.ivanti.com/blog/security-update-for-ivanti-connect-secure-and-ivanti-policy-secure-gateways
• https://www.volexity.com/blog/2024/01/10/active-exploitation-of-two-zero-day-vulnerabilities-in-ivanti-connect-secure-vpn

Vragen

Voor vragen over deze security bulletin kunt u contact opnemen met het Pinewood Security Operations Center (SOC). Het Pinewood SOC is bereikbaar via +31 15 251 36 33 en via soc@pinewood.nl.

===== ENGLISH =====

Description

Two critical vulnerabilities were reported in Ivanti Connect Secure (ICS) (formerly known as Pulse Connect Secure), Ivanti Policy Security and Ivanti ZTA gateways. The vulnerabilities exist in all supported versions of these products. The vulnerabilities allow a malicious actor to take over a system and gain access to the network. An unknown threat actor was already exploiting these vulnerabilities on a small, targeted scale before Ivanti could address them.

The first vulnerability (CVE-2023-46805) allows a malicious actor to bypass system authentication, even if the system is configured to enforce multi-factor authentication. The second vulnerability (CVE-2024-21887) is a command injection vulnerability that enables an attacker to execute arbitrary commands on the device. Normally, this second vulnerability can only be exploited by an authenticated administrator, but when combined with the first vulnerability, it is possible to exploit this vulnerability without authentication.

Vulnerable versions

All supported versions of Ivanti Connect Secure and Ivanti Policy Security gateways are vulnerable. Unsupported versions may also be vulnerable. The list below shows the versions that are reported vulnerable and for which Ivanti will release updates in the coming weeks:

• 9.1
• 22.1
• 22.2
• 22.3
• 22.4
• 22.5
• 22.6

Exploitation

According to Ivanti, attackers are currently exploiting these vulnerabilities on a very limited scale. Exploitation can be identified by the modification of a legitimate CGI file (compcheck.cgi) and the addition of JavaScript to the Web SSL VPN code on the device, allowing interception of user login credentials. In total, fewer than 10 customers of the company are believed to have been affected by the attack. Now that details about this vulnerability are known, there is a high likelihood that other actors will attempt to discover and exploit the vulnerability details.

Solutions and workarounds

Ivanti has stated that it will release patches for the various versions of the vulnerable products in the coming weeks (between January 22 and February 19). To prevent exploitation of the vulnerability in the meantime, it is essential to implement a mitigating workaround. This workaround involves applying an XML file to vulnerable devices. Refer to Ivanti’s article for instructions on applying this XML.

Detection of possible misuse

Ivanti recommends using the Ivanti Integrity Checker Tool (ICT) to verify the integrity of a device. Additionally, Volexity has provided additional indicators, including IP addresses and domain names, that can help identify potential exploitation.

More information

• https://forums.ivanti.com/s/article/CVE-2023-46805-Authentication-Bypass-CVE-2024-21887-Command-Injection-for-Ivanti-Connect-Secure-and-Ivanti-Policy-Secure-Gateways?language=en_US
• https://forums.ivanti.com/s/article/KB-CVE-2023-46805-Authentication-Bypass-CVE-2024-21887-Command-Injection-for-Ivanti-Connect-Secure-and-Ivanti-Policy-Secure-Gateways?language=en_US
• https://forums.ivanti.com/s/article/Download-Links-Related-to-CVE-2023-46805-and-CVE-2024-21887 (authenticatie vereist)
• https://www.ivanti.com/blog/security-update-for-ivanti-connect-secure-and-ivanti-policy-secure-gateways
• https://www.volexity.com/blog/2024/01/10/active-exploitation-of-two-zero-day-vulnerabilities-in-ivanti-connect-secure-vpn

Questions

For questions about this security bulletin, please contact the Pinewood Security Operations Center (SOC). The Pinewood SOC can be contacted at +31 15 251 36 33 and via soc@pinewood.nl.

Beschrijving

Er bevindt zich een kritieke kwetsbaarheid (CVE-2023-22518) in Atlassian Confluence Server en Atlassian Confluence Data Center waarvan aanvallers op dit moment actief misbruik maken. De kwetsbaarheid maakt het mogelijk om zonder authenticatie een reset uit te voeren van de Atlassian-database en een nieuw beheeraccount aan te maken. Het lijkt niet mogelijk om via deze kwetsbaarheid gevoelige informatie uit de bestaande Atlassian-database te verkrijgen. Atlassian heeft op 31 oktober 2023 patches uitgebracht voor deze kwetsbaarheid waarvoor nu ook exploitcode is verschenen.

Op basis van de publiek beschikbare aanvalscode is de inschatting van Pinewood dat de kwetsbaarheid eenvoudig te gebruiken is. Hiermee is de kans groot dat kwetsbare en via het internet bereikbare installaties via deze kwetsbaarheid gecompromitteerd worden of al gecompromitteerd zijn.

Let op: het betreft hier een andere kwetsbaarheid dan de kwetsbaarheid waarover wij op 12 oktober 2023 een security bulletin verstuurden (CVE-2023-22515).

Kwetsbare versies

De onderstaande versies van Confluence Server en Data Center bevatten de genoemde kwetsbaarheid:

• 7.19.0 t/m 7.19.15
• 8.0 (alle versies)
• 8.1 (alle versies)
• 8.2 (alle versies)
• 8.3.0 t/m 8.3.3
• 8.4.0 t/m 8.4.3
• 8.5.0 t/m 8.5.2

Op basis van de door Atlassian aangeleverde omschrijving lijken alle versielijnen kwetsbaar te zijn, maar zijn er voor een aantal van deze versielijnen (8.0, 8.1, 8.2) nog geen updates beschikbaar.

Cloud-installaties, herkenbaar aan het atlassian.net-domein, zijn niet (meer) kwetsbaar.

Oplossingen en tijdelijke mitigaties

Atlassian heeft onderstaande versies van Confluence Server en Data Center uitgebracht om de betreffende kwetsbaarheid te verhelpen:

• 7.19.16 (en nieuwer)
• 8.3.4 (en nieuwer)
• 8.4.4 en nieuwer)
• 8.5.3 (en nieuwer)

Voor zover bekend is de kwetsbaarheid (nog) niet opgelost met updates voor de 8.0, 8.1 en 8.2 versielijnen. Atlassian adviseert dan ook gebruik te maken van een Long Term Support (LTS) versie van Confluence Server en/of Data Center (de 7.19 en 8.5 versielijnen).

Aangezien misbruik van de kwetsbaarheid leidt tot het verlies van de Atlassian-database is het tevens raadzaam om te zorgen voor een actuele backup van de database om hier in het geval van een succesvolle aanval op terug te kunnen vallen.

Detectie van mogelijk misbruik

Aangezien misbruik van de kwetsbaarheid zal leiden tot een reset van de Atlassian-database, zal misbruik van een productiesysteem zeker niet onopgemerkt blijven. Atlassian geeft aan dat de volgende signalen kunnen duiden op succesvol misbruik van deze kwetsbaarheid:

• Verlies van data of sterk aangepaste data.
• Verlies van toegang tot de URL waarop de Atlassian-instance draait.
• Onmogelijkheid om met bekende credentials te authenticeren.
• Aanwezigheid van verdachte bestanden in de folder <confluence-local-home>/temp.

Daarnaast bevatten diverse logbestanden op een gecompromitteerde server mogelijk aanwijzingen van het misbruik. Een overzicht van deze bestanden en de inhoud waarop men dient te zoeken, is terug te vinden in de FAQ van Atlassian.

Meer informatie

• https://confluence.atlassian.com/security/cve-2023-22518-improper-authorization-vulnerability-in-confluence-data-center-and-server-1311473907.html
• https://confluence.atlassian.com/kb/faq-for-cve-2023-22518-1311474094.html

Vragen

Voor vragen over deze security bulletin kunt u contact opnemen met het Pinewood Security Operations Center (SOC). Het Pinewood SOC is bereikbaar via +31 15 251 36 33 en via soc@pinewood.nl.

===== ENGLISH =====

Description

Attackers are actively exploiting a critical vulnerability (CVE-2023-22518) in Atlassian Confluence Server and Atlassian Confluence Data Center. The vulnerability allows an attacker to reset the instance database and to create a new administrative account. It seems the vulnerability does not allow an attacker to gain access to the contents of the current database. Atlassian released patches for this vulnerability on October 31, 2023. Exploit code for this vulnerability was also recently published.

Based on the public Proof-of-Concept (PoC) code, Pinewood estimates that the vulnerability is easy to exploit. With this, there is a high probability that vulnerable and Internet-accessible installations will be compromised via this vulnerability or have already been compromised.

Note: the vulnerability described in this bulletin is a different one than the vulnerability that we described in a previous security bulletin on October 12, 2023 (CVE-2023-22515).

Vulnerable versions

The following versions of Confluence Server and Data Server contain the listed vulnerability:

• 7.19.0 up to and including 7.19.15
• 8.0 (all versions)
• 8.1 (all versions)
• 8.2 (all versions)
• 8.3.0 up to and including 8.3.3
• 8.4.0 up to and including 8.4.3
• 8.5.0 up to and including 8.5.2

Based on the information from Atlassian, all version lines seem to be affected, but for some of these (8.0, 8.1, 8.2) no updates were released (yet).

Cloud installations, identified by the atlassian.net domain, are not vulnerable (anymore).

Solutions and workarounds

Atlassian has released the below versions of Confluence Server and Data Center to fix the affected vulnerability:

• 7.19.16 (and newer)
• 8.3.4 (and newer)
• 8.4.4 (and newer)
• 8.5.3 (and newer)

As far as we know, the vulnerability has not (yet) been fixed in the 8.0, 8.1 and 8.2 version lines.

Because successful exploitation leads to a reset of the Atlassian database, we recommend to make sure that an up-to-date backup of this database is available to restore any data from.

Detection of possible misuse

Because successful exploitation of this vulnerability will lead to a reset of the Atlassian database, this will surely be detected in a production environment. Atlassian describes the following symptoms that indicate exploitation of this vulnerability:

• Observation of significant data loss.
• Not able to connect to your instance’s URL anymore.
• Not able to properly authenticate to the instance anymore.
• If able to authenticate, the instance won’t have any content created and/or different content than it originally had.
• Suspicious files and/or directories created under <confluence-local-home>/temp folder.

In addition, several log files on a compromised server may contain signs of the compromise. For a full list of log files and the contents that administrators should look for, see the FAQ released by Atlassian on this vulnerability.

More information

• https://confluence.atlassian.com/security/cve-2023-22518-improper-authorization-vulnerability-in-confluence-data-center-and-server-1311473907.html
• https://confluence.atlassian.com/kb/faq-for-cve-2023-22518-1311474094.html

Questions

For questions about this security bulletin, please contact the Pinewood Security Operations Center (SOC). The Pinewood SOC can be contacted at +31 15 750 1331 and via soc@pinewood.nl.

Beschrijving

Cisco heeft updates uitgebracht voor een ernstige kwetsbaarheid in de WebUI-functie van Cisco IOS XE Software die een aanvaller in staat stelt om op afstand (en zonder authenticatie) volledige controle te verkrijgen over een getroffen apparaat. Naast de eerdere kwetsbaarheid die al bekend was (CVE-2023-20198), blijken aanvallers ook misbruik te maken van een aanvullende kwetsbaarheid (CVE-2023-20273) voor het installeren van een malafide implant op kwetsbare devices.

Aanvallers maken al enige tijd misbruik van deze kwetsbaarheden waardoor de kans op compromittatie van een device dat met de WebUI-functie bereikbaar is vanaf het internet, groot is.

Kwetsbare versies

De kwetsbaarheid bevindt zich in alle devices met onderstaande Cisco IOS XE versies:

• 17.9.4 ouder dan 17.9.4a
• 17.6.6 ouder dan 17.6.6a
• 17.3.8 ouder dan 17.3.8a
• 16.12.10 ouder dan 16.12.10a

Misbruik van de kwetsbaarheid vanaf internet is alleen mogelijk indien de WebUI-functie bereikbaar is vanaf het internet, in de regel via poort 80/tcp (HTTP) of 443/tcp (HTTPS). Om te bepalen of de WebUI is ingeschakeld voor een systeem, kan op het systeem het commando “show running-config | include ip http server|secure|active” uitgevoerd worden om te controleren of één van beide opdrachten aanwezig is in de globale configuratie.

Als het “ip http server” commando aanwezig is en de configuratie ook “ip http active-session-modules none” bevat, is de kwetsbaarheid niet te misbruiken via HTTP.

Als het “ip http secure-server” aanwezig is en de configuratie ook “ip http secure-active-session-modules none” bevat, kan de kwetsbaarheid niet via HTTPS worden uitgebuit.

Oplossingen en tijdelijke mitigaties

Cisco heeft IOS versie 17.9.4a (voor Routing/SDWAN en IOT) uitgebracht om de kwetsbaarheid met CVE-2023-20198 te verhelpen. Wij raden aan om deze update z.s.m. te installeren op kwetsbare devices. Cisco heeft aangegeven binnenkort ook met updates te komen voor Cisco IOS XE 17.6.6, 17.3.8 en 16.12.10. Wij raden aan de beschikbaarheid hiervan te monitoren via de website van Cisco.

Daarnaast is het advies om – als best practice – de WebUI uit te schakelen of in ieder geval niet bereikbaar te laten zijn vanaf het internet. Het uitschakelen van de WebUI is mogelijk met de commando’s “no ip http server” en “no ip http secure-server” in de globale configuratiemodus. Gebruik na het uitschakelen van de HTTP-serverfunctie het commando “copy running-configuration startup-configuration” om de configuratie op te slaan.

Detectie van mogelijk misbruik

Nieuwe user accounts

Het is bekend dat aanvallers bij het misbruiken van de kwetsbaarheden een reeks aan accounts aanmaken. Controleer op kwetsbare devices daarom in ieder geval of de gebruikers “cisco_support”, “cisco_tac_admin” of “cisco_sys_manager” zijn aangemaakt. Het is bekend dat de aanvallers deze accounts in sommige gevallen later ook weer hebben verwijderd, waardoor het ontbreken ervan geen definitieve indicatie vormt dat aanvallers geen misbruik hebben gemaakt van dit systeem. Controleer daarom ook de logging van het device op de aanwezigheid van deze gebruikersnamen (of andere verdachte gebruikersnamen).

Aanwezigheid van implant

Daarnaast is het mogelijk te controleren of aanvallers een malafide implant op het device hebben geplaatst. Maak hiervoor gebruik van het curl-commando i.c.m. onderstaande aanroep (vervang hierin DEVICEIP door het IP-adres van het device dat men wil controleren, vervang https:// door http:// indien de WebUI op HTTP is geactiveerd):

“curl -k -X POST “https[:]//DEVICEIP/webui/logoutconfirm.html?logon_hash=1”

Indien bovenstaand commando een hexadecimale string retourneert, is de implant zeer waarschijnlijk aanwezig en is het device gecompromitteerd. Daarnaast geeft het commando alleen een resultaat wanneer de aanvaller de webserver op het device een herstart heeft gegeven na de compromittatie.

Installatie van de implant is ook zichtbaar in de logging van het device. Controleer daarom op de aanwezigheid van logregels van het type “%WEBUI-6-INSTALL_OPERATION_INFO” om te zien of hier verdachte activiteiten terug te vinden zijn.

Communicatie vanaf verdachte IP-adressen

Volgens Cisco hebben de aanvallers gebruikgemaakt van drie verschillende IP-adressen om aanvallen uit te voeren. Communicatie vanaf deze IP-adressen vormt daarom een indicatie van mogelijk misbruik. Het betreft de IP-adressen 5.149.249[.]74, 154.53.56[.]231 en 154.53.63[.]93. Het Pinewood SOC heeft deze indicatoren opgenomen in de monitoring en heeft tevens een historische controle uitgevoerd op de logging van aangesloten SOC-klanten.

Meer informatie

• Cisco Security Advisory – Cisco IOS XE Software Web UI Privilege Escalation Vulnerability
• Cisco – Software Fix Availability for Cisco IOS XE Software Web UI Privilege Escalation Vulnerability – CVE-2023-20198
• Cisco Talos Intelligence Blog – Active exploitation of Cisco IOS XE Software Web Management User Interface vulnerabilities
• CISA Alert – Cisco Releases Security Advisory for IOS XE Software Web UI
• NCSC-NL – NCSC-2023-0526: Kwetsbaarheid verholpen in Cisco IOS XE

Vragen

Voor vragen over deze security bulletin kunt u contact opnemen met de Pinewood Servicedesk. De servicedesk is bereikbaar via +31 15 251 36 33 en via support@pinewood.nl.

===== ENGLISH =====

Description

Cisco released updates for a serious vulnerability in the WebUI feature of Cisco IOS XE Software that allows an unauthenticated remote attacker to take full control of an affected device. In addition to the previously known vulnerability (CVE-2023-20198), attackers are exploiting an additional vulnerability (CVE-2023-20273) to install a malicious implant on vulnerable devices.

Attackers have been abusing these vulnerabilities for some time, which means there is a high risk of compromise of a device that is accessible from the internet with the WebUI function enabled.

Vulnerable versions

The vulnerability is present in all devices with the following Cisco IOS XE versions:

• 17.9.4 before 17.9.4a
• 17.6.6 before 17.6.6a
• 17.3.8 before 17.3.8a
• 16.12.10 before 16.12.10a

Abuse of the vulnerability from the internet is only possible if the WebUI function is accessible from the internet, usually via port 80/tcp (HTTP) or 443/tcp (HTTPS). To determine if the WebUI is enabled for a system, run the command “show running-config | include ip http server|secure|active” to check whether either command is present in the global configuration.

If the “ip http server” command is present and the configuration also contains “ip http active-session-modules none”, the vulnerability cannot be exploited via HTTP.

If the “ip http secure-server” is present and the configuration also includes “ip http secure-active-session-modules none”, the vulnerability cannot be exploited via HTTPS.

Solutions and workarounds

Cisco has released IOS version 17.9.4a (for Routing/SDWAN and IOT) to address the CVE-2023-20198 vulnerability. We recommend installing this update on vulnerable devices as soon as possible. Cisco has indicated that it will soon also release updates for Cisco IOS XE 17.6.6, 17.3.8 and 16.12.10. We recommend monitoring its availability via the Cisco website.

In addition, it is advisable – as a best practice – to disable the WebUI or at least make it inaccessible from the internet. Disabling the WebUI is done by setting “no ip http server” and “no ip http secure-server” in global configuration mode. After disabling the HTTP server feature, use the command “copy running-configuration startup-configuration” to save the configuration.

Detection of possible misuse

New user accounts

When exploiting the vulnerabilities, attackers are known to create a range of accounts. Therefore, check the user accounts “cisco_support”, “cisco_tac_admin” or “cisco_sys_manager” have been created on vulnerable devices. It is known that in some cases the attackers deleted these accounts afterwards, so their absence is not a definitive indication that attackers have not abused this system. Therefore, also check the logging of the device for the presence of these usernames (or other suspicious usernames).

Presence of implant

In addition, it is possible to check whether attackers have placed a rogue implant on the device. To do this, use the curl command in combination with the call below (replace DEVICEIP with the IP address of the device you want to check, replace https:// with http:// if the WebUI is activated on HTTP):

“curl -k -X POST “https[:]//DEVICEIP/webui/logoutconfirm.html?logon_hash=1”

If the command above returns a hexadecimal string, the implant is most likely present and the device has been compromised. In addition, the command only produces a result if the attacker has restarted the web server on the device after the compromise.

Installation of the implant is also visible in the logging of the device. Therefore, check for the presence of logs of type “%WEBUI-6-INSTALL_OPERATION_INFO” to see if any suspicious activity can be found here.

Communication from suspicious IP addresses

According to Cisco, the attackers used three different IP addresses to carry out the attacks. Communication from these IP addresses is therefore an indication of possible abuse. This concerns the IP addresses 5.149.249[.]74, 154.53.56[.]231 and 154.53.63[.]93. The Pinewood SOC has added these indicators to its detection platform and also checked historical log files of its SOC customers for the presence of these indicators.

More information

• Cisco Security Advisory – Cisco IOS XE Software Web UI Privilege Escalation Vulnerability
• Cisco – Software Fix Availability for Cisco IOS XE Software Web UI Privilege Escalation Vulnerability – CVE-2023-20198
• Cisco Talos Intelligence Blog – Active exploitation of Cisco IOS XE Software Web Management User Interface vulnerabilities
• CISA Alert – Cisco Releases Security Advisory for IOS XE Software Web UI
• NCSC-NL – NCSC-2023-0526: Kwetsbaarheid verholpen in Cisco IOS XE

Questions

For questions about this security bulletin, please contact the Pinewood Service desk. The service desk can be contacted at +31 15 251 36 33 and via support@pinewood.nl.

Beschrijving

Citrix heeft recent patches uitgebracht om diverse kwetsbaarheden in Citrix NetScaler te verhelpen. Nu blijkt dat kwaadwillenden één van deze kwetsbaarheden (CVE-2023-4966) al enige tijd uitbuiten om in te breken op sessies van gebruikers. Dit laatste vergroot de noodzaak om z.s.m. de door Citrix aangeleverde updates te installeren om misbruik hiervan te voorkomen.

Misbruik van de kwetsbaarheid stelt kwaadwillenden in staat om de sessies van ingelogde gebruikers over te nemen en daarbij eventuele beveiligingsmaatregelen – zoals de vereiste voor multifactor-authenticatie – te omzeilen. Nadat een aanvaller erin slaagt om een sessie van een gebruiker over te nemen, kan deze vervolgens aanvullende acties uitvoeren met de rechten van de betreffende gebruiker.

Kwetsbare versies

De onderstaande versies van NetScaler bevatten de kwetsbaarheid:

• NetScaler ADC en NetScaler Gateway 14.1, versies ouder dan 14.1-8.50
• NetScaler ADC en NetScaler Gateway 13.1 , versies ouder dan 13.1-49.15
• NetScaler ADC en NetScaler Gateway 13.0, versies ouder dan 13.0-92.19
• NetScaler ADC 13.1-FIPS, versies ouder dan 13.1-37.164
• NetScaler ADC 12.1-FIPS, versies ouder dan 12.1-55.300
• NetScaler ADC 12.1-NDcPP, versies ouder dan 12.1-55.300

Om de kwetsbaarheid uit te kunnen buiten moet het device geconfigureerd zijn als Gateway (VPN virtual server, ICA Proxy, CVPN of RDP Proxy) of als AAA virtual server.

Let op: NetScaler ADC 12.1 en NetScaler Gateway 12.1 bevatten de kwetsbaarheid ook maar zijn inmiddels End-of-Life/niet meer ondersteund. Voor deze versies van NetScaler is geen update beschikbaar gesteld en gebruikers ervan dienen daarom te upgraden naar een ondersteunde versie van NetScaler (13.0 of hoger).

Oplossingen en tijdelijke mitigaties

Citrix heeft nieuwe versies van de NetScaler-producten uitgebracht om deze kwetsbaarheid te verhelpen. Wij raden dan ook aan z.s.m. onderstaande updates te installeren:

• NetScaler en NetScaler Gateway 14.1: versie 14.1-8.50 of nieuwer
• NetScaler en NetScaler Gateway 13.1: versie 13.1-49.15 of nieuwer
• NetScaler ADC en NetScaler Gateway 13.0: versie 13.0-92.19 of nieuwer
• NetScaler ADC 13.1-FIPS: versie 13.1-37.164 of nieuwer
• NetScaler ADC 12.1-FIPS: versie 12.1-55.of nieuwer
• NetScaler ADC 12.1-NDcPP: versie 12.1-55.300 of nieuwer

Houd er rekening mee dat aanvallers toegang kunnen blijven houden tot sessies indien zij deze voor het installeren van de update hebben kunnen overnemen. Daarom is het van belang om op elk (voorheen kwetsbaar systeem) alle persistente sessies te termineren.

Detectie van mogelijk misbruik

Misbruik van de kwetsbaarheid laat helaas weinig tot geen sporen achter op het systeem. Sessies afkomstig vanaf afwijkende IP-adressen/locaties, kunnen een indicatie vormen dat sprake is van een overgenomen sessie.

Meer informatie

• https://support.citrix.com/article/CTX579459/netscaler-adc-and-netscaler-gateway-security-bulletin-for-cve20234966-and-cve20234967
• https://www.mandiant.com/resources/blog/remediation-netscaler-adc-gateway-cve-2023-4966

Vragen

Voor vragen over deze security bulletin kunt u contact opnemen met het Pinewood Security Operations Center (SOC). Het Pinewood SOC is bereikbaar via +31 15 251 36 33 en via soc@pinewood.nl.

===== ENGLISH =====

Description

Citrix recently released patches for Citrix NetScaler to resolve multiple vulnerabilities in this product. As it turned out, one of these vulnerabilities (CVE-2023-4966) was already exploited by threat actors for quite some time to hijack user sessions. Due to this, we advise to install the updates released by Citrix urgently to prevent exploitation of this vulnerability on your devices.

Exploitation of the vulnerability enables threat actors to hijack existing sessions of users, thereby circumventing any security measure in place, such as the requirement for multi factor authentication. After the attacker successfully hijacked a session, he will then be able perform additional actions with the rights of the user.

Vulnerable versions

The following supported versions of NetScaler ADC and NetScaler Gateway are affected by the vulnerabilities:

• NetScaler ADC and NetScaler Gateway 14.1 before 14.1-8.50
• NetScaler ADC and NetScaler Gateway 13.1 before 13.1-49.15
• NetScaler ADC and NetScaler Gateway 13.0 before 13.0-92.19
• NetScaler ADC 13.1-FIPS before 13.1-37.164
• NetScaler ADC 12.1-FIPS before 12.1-55.300
• NetScaler ADC 12.1-NDcPP before 12.1-55.300

For the vulnerability to be exploited, the device must be configured as Gateway (VPN virtual server, ICA Proxy, CVPN or RDP Proxy) or as AAA virtual server.

Note: NetScaler ADC and NetScaler Gateway version 12.1 are now End-of-Life (EOL) but are vulnerable as well. Users of these versions of NetScaler are required to upgrade to a newer/supported version (13.0 or higher).

Solutions and workarounds

Citrix has released updates to resolve this vulnerability. We strongly advise to install these updates as soon as possible if you are running vulnerable devices:

• NetScaler ADC and NetScaler Gateway 14.1-8.50 and later releases
• NetScaler ADC and NetScaler Gateway  13.1-49.15 and later releases of 13.1
• NetScaler ADC and NetScaler Gateway 13.0-92.19 and later releases of 13.0
• NetScaler ADC 13.1-FIPS 13.1-37.164 and later releases of 13.1-FIPS
• NetScaler ADC 12.1-FIPS 12.1-55.300 and later releases of 12.1-FIPS
• NetScaler ADC 12.1-NDcPP 12.1-55.300 and later releases of 12.1-NDcPP

Be aware that attackers still have access to hijacked sessions if they successfully compromised these sessions before the systems were patched. It is therefore important to clear all persistent sessions on a device after the update is installed.

Detection of possible misuse

Unfortunately, exploitation of the vulnerability leaves little to no traces on the exploited system. Sessions originating from anomalous IP addresses or anomalous locations may indicate that a session was hijacked using this vulnerability.

More information

• https://support.citrix.com/article/CTX579459/netscaler-adc-and-netscaler-gateway-security-bulletin-for-cve20234966-and-cve20234967
• https://www.mandiant.com/resources/blog/remediation-netscaler-adc-gateway-cve-2023-4966\

Questions

For questions about this security bulletin, please contact the Pinewood Security Operations Center (SOC). The Pinewood SOC can be contacted at +31 15 750 1331 and via soc@pinewood.nl.

Beschrijving

Er is een kritieke kwetsbaarheid ontdekt in de web UI-functie van Cisco IOS XE Software waardoor een aanvaller op afstand de volledige controle kan krijgen over een getroffen apparaat. De kwetsbaarheid staat toe om een account met toegangsniveau 15 (wat gelijkstaat aan volledige beheerdersrechten) aan te maken. De aanvaller kan dit account gebruiken om willekeurige commando’s op het apparaat uit te voeren.

Op het moment van schrijven wordt de kwetsbaarheid actief misbruikt.

Kwetsbare versies

Op dit moment zijn alle versies van Cisco IOS XE kwetsbaar als de WebUI is ingeschakeld via de commando’s “ip http server” of “ip http secure-server”.

Om te bepalen of de WebUI is ingeschakeld voor een systeem, kan op het systeem het commando “show running-config | include ip http server|secure|active” uitgevoerd worden om te controleren of een van beide opdrachten aanwezig is in de globale configuratie.

Als het “ip http server” commando aanwezig is en de configuratie ook “ip http active-session-modules none” bevat, is de kwetsbaarheid niet te misbruiken via HTTP.

Als het “ip http secure-server” aanwezig is en de configuratie ook “ip http secure-active-session-modules none” bevat, kan de kwetsbaarheid niet via HTTPS worden uitgebuit.

Oplossingen en tijdelijke mitigaties

Cisco werkt aan een softwarepatch om deze kwetsbaarheid te verhelpen en zal updates geven over de status van dit onderzoek.

Totdat er een patch beschikbaar is, raadt Cisco aan om de WebUI uit te schakelen met de commando’s “no ip http server” en “no ip http secure-server” in de globale configuratiemodus. Gebruik na het uitschakelen van de HTTP-serverfunctie het commando “copy running-configuration startup-configuration” om de configuratie op te slaan.

Detectie van mogelijk misbruik

Cisco adviseert om de systeemlogboeken te controleren op nieuwe onbekende beheeraccounts. Zie de Cisco Security Advisory met meer informatie over de specifieke indicatoren waarop gezocht moet worden.

Meer informatie

• Cisco Security Advisory – Cisco IOS XE Software Web UI Privilege Escalation Vulnerability
• CISA Alert – Cisco Releases Security Advisory for IOS XE Software Web UI
• Cisco Talos Intelligence Blog – Active exploitation of Cisco IOS XE Software Web Management User Interface vulnerability
• NCSC Advisory – NCSC-2023-0526

Vragen

Voor vragen over deze security bulletin kunt u contact opnemen met de Pinewood Servicedesk. De servicedesk is bereikbaar via +31 15 251 36 33 en via support@pinewood.nl.

===== ENGLISH =====

Description

A critical vulnerability has been discovered in the web UI feature of Cisco IOS XE Software that allows an unauthenticated remote attacker to take full control of an affected device. The vulnerability allows the creation of an account with access level 15 (which grants full admin privileges). The attacker can use this account to execute arbitrary commands on the device.

At the time of writing, the vulnerability is being actively exploited.

Vulnerable versions

Currently, all versions of Cisco IOS XE are vulnerable if the WebUI is enabled via the commands “ip http server” or “ip http secure-server“.

To determine whether the WebUI is enabled for a system, the “show running-config | include ip http server|secure|active” command can be run on the system to check whether either command is present in the global configuration.

If the “ip http server” command is present and the configuration also includes “ip http active-session-modules none“, the vulnerability cannot be exploited via HTTP.

If the “ip http secure-server” command is present and the configuration also contains “ip http secure-active-session-modules none“, the vulnerability cannot be exploited via HTTPS.

Solutions and workarounds

Cisco is working on a software patch to fix this vulnerability and will provide updates on the status of this investigation.

Until a patch is available, Cisco recommends disabling the WebUI with the commands “no ip http server” and “no ip http secure-server” in global configuration mode. After disabling the HTTP server feature, use the “copy running-configuration startup-configuration” command to save the configuration.

Detection of possible misuse

Cisco recommends checking system logs for new unknown accounts. See the Cisco Security Advisory with more information on the specific indicators to look for.

More information

• Cisco Security Advisory – Cisco IOS XE Software Web UI Privilege Escalation Vulnerability
• CISA Alert – Cisco Releases Security Advisory for IOS XE Software Web UI
• Cisco Talos Intelligence Blog – Active exploitation of Cisco IOS XE Software Web Management User Interface vulnerability
• NCSC Advisory – NCSC-2023-0526

Questions

For questions about this security bulletin, please contact the Pinewood Service desk. The service desk can be contacted at +31 15 251 36 33 and via support@pinewood.nl.