Keď sa chyba týka riadenia celej siete

Cisco 30. septembra upozornilo na kritickú chybu v Catalyst SD-WAN Manageri, ktorý slúži na správu firemných WAN sietí a ich zariadení. Chyba CVE-2026-76504 umožňuje vzdialenému útočníkovi obísť overenie prístupu k aplikačnému rozhraniu a získať práva správcu bez toho, aby mal účet alebo heslo. Cisco potvrdilo, že chybu útočníci aktívne zneužívajú; presný počet dotknutých organizácií ani rozsah prienikov firma nezverejnila. Zdroj: Oznámenie CISA o zneužívanej chybe, správa BleepingComputer o upozornení Cisco.

Prečo je to dôležité aj mimo IT

SD-WAN prepája pobočky a dátové centrá cez centrálne spravované sieťové prvky. Manažérska konzola preto patrí medzi systémy, ktorých prevzatie môže útočníkovi otvoriť cestu k dôležitej časti podnikovej infraštruktúry. Neznamená to, že každý zákazník Cisco bol napadnutý, ani že samotná chyba automaticky vedie ku kompromitácii všetkých pripojených zariadení. Znamená to však, že organizácie používajúce zraniteľný produkt by mali konať bez čakania na ďalší pravidelný servisný termín. Zdroj: Prehľad zraniteľnosti a odporúčaní.

CISA zaradila chybu do katalógu známych zneužívaných zraniteľností a pre federálne úrady USA určila termín nápravy na 3. októbra. Tento termín je povinnosťou pre príslušné americké úrady, nie všeobecnou lehotou pre slovenské firmy. Pre ostatné organizácie je záznam CISA užitočným signálom, že nejde iba o teoretickú chybu. Zdroj: Katalóg aktívne zneužívaných zraniteľností CISA, správa BleepingComputer.

Čo majú správcovia urobiť

Cisco zverejnilo opravené verzie; konkrétna verzia závisí od vetvy softvéru. Pre on-premise nasadenia Cisco neuvádza riešenie, ktoré by nahradilo aktualizáciu. Dočasne odporúča obmedziť prístup k riadiacemu systému z nedôveryhodných sietí a povoliť ho len známym, schváleným adresám. Pri spravovanej cloudovej službe Cisco uvádza opravu na svojej strane bez potrebného zásahu zákazníka. Pred zásahom preto treba určiť, ktorý typ nasadenia firma používa. Zdroj: Odporúčania a stav opráv v správe Cisco citovanej BleepingComputerom.

  1. Zistite, či sa chyba týka vašej firmy. Overte inventár sieťových zariadení, vlastníka platformy a presnú verziu Catalyst SD-WAN Managera; rozlíšte vlastnú inštaláciu od služby spravovanej spoločnosťou Cisco.
  2. Naplánujte urgentnú opravu a obmedzte vystavenie. Aktualizujte na prvé opravené vydanie pre používanú vetvu a dovtedy povoľte správu len z dôveryhodných zdrojov. Overte, že obmedzenie neblokuje legitímnu prevádzku ani obnovu služby.
  3. Po aktualizácii preverujte možné zneužitie. Skontrolujte relevantné záznamy za obdobie pred opravou a nezvyčajné pokusy o prístup k prihlasovaciemu rozhraniu. Ak nájdete podozrivú aktivitu, uchovajte dôkazy a koordinujte analýzu s prevádzkovateľom alebo podporou Cisco.

Neisté zostáva, koľko systémov už bolo napadnutých a či útočníci po získaní prístupu vykonali ďalšie zmeny v konkrétnych sieťach. Preto treba oddeliť dve úlohy: odstrániť zraniteľnosť a samostatne posúdiť, či pred opravou nedošlo ku kompromitácii. Evidencia verzií, kontrola prístupov a uchované logy pomôžu vedeniu rozhodnúť o ďalších krokoch na základe stavu vlastného prostredia.

Zdroje