Vulnerabilitatea din Cisco SD-WAN exploatată în atacuri zero-day din 2023

Cisco avertizează că o vulnerabilitate critică de ocolire a autentificării în Cisco Catalyst SD-WAN, identificată ca CVE-2026-20127, a fost exploatată în mod activ în atacuri de tip zero-day, care au permis atacatorilor la distanță să compromită controllerele și să adauge peer-uri rău intenționate în rețelele vizate.

CVE-2026-20127 are o severitate maximă cu scor CvSS de 10/10 și afectează Cisco Catalyst SD-WAN Controller (anterior vSmart) și Cisco Catalyst SD-WAN Manager (anterior vManage) în instalațiile locale și SD-WAN Cloud.

Într-un comunicat publicat recent, Cisco a semnalat că problema provine dintr-un mecanism de autentificare peering care nu funcționează corect.

Cisco Catalyst SD-WAN este o platformă de rețea bazată pe software care conectează sucursale, centre de date și medii cloud printr-un sistem gestionat centralizat. Aceasta utilizează un controller pentru a ruta în siguranță traficul între site-uri prin conexiuni criptate.

Prin adăugarea unui peer necunoscut, un atacator poate introduce un dispozitiv rău intenționat în mediul SD-WAN, care pare legitim. Dispozitivul respectiv ar putea apoi să stabilească conexiuni criptate și să promoveze rețele aflate sub controlul atacatorului, permițându-i acestuia să pătrundă mai adânc în rețea.

Specialiștii raportează că telemetria acestora indică faptul că exploatarea datează cel puțin din 2023, colaboratorii în din domeniile de informații afirmând că atacatorul a escaladat probabil la nivelul root prin downgrade la o versiune mai veche de software, exploatând CVE-2022-20775 pentru a obține acces root și apoi restaurând versiunea originală de firmware.

Revenind la versiunea originală după exploatare, atacatorul putea obține acces root evitând detectarea.

Avertismentele subliniază că interfețele de gestionare SD-WAN nu trebuie niciodată expuse la internet și îndeamnă organizațiile să actualizeze și să consolideze imediat sistemele afectate.

Cisco a lansat actualizări software pentru a remedia vulnerabilitatea și afirmă că nu există soluții alternative care să elimine complet problema.

Sursă: https://www.bleepingcomputer.com/news/security/critical-cisco-sd-wan-bug-exploited-in-zero-day-attacks-since-2023/