Cisco IOS 12.4 HTTP-Administration CSRF-Schwachstellen auf Cisco 871 ISR

Zusammenfassung

Multiple Cross-Site Request Forgery (CSRF) Schwachstellen in der HTTP-Administration-Komponente von Cisco IOS 12.4 auf dem Cisco 871 Integrated Services Router ermöglichen es remote Angreifern, beliebige Befehle über manipulierte Webanfragen auszuführen.

Technische Details

Die Schwachstellen betreffen die HTTP-Administration-Komponente von Cisco IOS 12.4. Ein Angreifer kann einen ahnungslosen Benutzer dazu verleiten, eine manipulierte Webseite zu besuchen, die automatisch HTTP-Anfragen an den Zielrouter sendet.

Angriffsvektor 1: Durch einen POST-Request mit dem Befehl show privilege an die URI /level/15/exec/- können Administra-tionsbefehle auf dem Router ausgeführt werden.

Angriffsvektor 2: Durch einen POST-Request mit dem Befehl alias exec an die URI /level/15/exec/-/configure/http können Konfigurationsbefehle über die HTTP-Schnittstelle eingeschleust werden.

Die Angriffe erfordern, dass das HTTP-Server-Feature in Cisco IOS aktiviert ist und dass ein authentifizierter Administrator die manipulierte Webseite aufruft.

Betroffene Systeme

• Cisco IOS 12.4 auf dem Cisco 871 Integrated Services Router (ISR)

Empfehlungen und Maßnahmen

1. IOS-Software aktualisieren: Aktualisieren Sie auf die neueste verfügbare Cisco IOS-Version, die CSRF-Schutzmechanismen für die HTTP-Administration enthält
2. HTTP-Administration deaktivieren: Wenn die HTTP-Verwaltung nicht benötigt wird, deaktivieren Sie diese mit no ip http server
3. SSH verwenden: Nutzen Sie ausschließlich SSH für die Router-Verwaltung anstelle von HTTP
4. Zugriffsbeschränkungen implementieren: Konfigurieren Sie ACLs, um den Zugriff auf die HTTP-Administration auf vertrauenswürdige Verwaltungsnetzwerke zu beschränken
5. CSRF-Schutz prüfen: Stellen Sie sicher, dass neuere IOS-Versionen mit integriertem CSRF-Schutz eingesetzt werden

Quellen

• https://www.exploit-db.com/exploits/6476
• https://exchange.xforce.ibmcloud.com/vulnerabilities/45226
• http://jbrownsec.blogspot.com/2008/09/cisco-0day-released.html
• https://www.exploit-db.com/exploits/6477
• http://www.securityfocus.com/bid/31218