Cisco-routers door beveiligingslekken op afstand over te nemen
Verschillende modellen Cisco-routers zijn door beveiligingslekken op afstand over te nemen. De netwerkfabrikant kwam gisterenavond met beveiligingsupdates voor de vier kwetsbaarheden, die alle vier op een schaal van 1 tot en met 10 wat betreft de ernst met een 9,8 zijn beoordeeld.
De beveiligingslekken zijn aanwezig in de RV110W, RV130, RV130W en RV215W. Deze vpn-routers zijn volgens Cisco bedoeld voor het mkb. Drie van de vier kwetsbaarheden (CVE-2020-3331, CVE-2020-3144 en CVE-2020-3323) zijn aanwezig in de webmanagementinterface van de router en worden veroorzaakt door het niet goed valideren van gebruikersinvoer en verkeerd sessiebeheer. Door het versturen van een speciaal geprepareerd http-verzoek naar een kwetsbare router kan een aanvaller beheerderstoegang krijgen of willekeurige code met rootrechten uitvoeren.
De vierde kwetsbaarheid (CVE-2020-3330) is alleen aanwezig in de RV110W-router en bevindt zich in de Telnet-dienst. Die maakt namelijk gebruik van een statisch standaard account en wachtwoord. Via dit standaard "high-privileged" account kan een aanvaller inloggen en de router volledig overnemen, aldus de uitleg van Cisco. Voor geen van de kwetsbaarheden is een workaround beschikbaar. Gebruikers worden dan ook opgeroepen om de beschikbaar gemaakte beveiligingsupdates te installeren.
betekent dat niet dat die waarderingsschaal een beetje aan het ontsporen is?
(krijgen we straks een 9.9, 9.9+, 9.9++ etc?)
Het lijkt me dat een kwetsbaarheid in de management interface niet te exploiteren is vanaf internet en dat mag toch
ook wel terug komen in de waardering. Bijvoorbeeld dat alleen kwetsbaarheden die vanaf internet aan te vallen
zijn een waardering 8 of hoger kunnen krijgen.
betekent dat niet dat die waarderingsschaal een beetje aan het ontsporen is?
(krijgen we straks een 9.9, 9.9+, 9.9++ etc?)
Het lijkt me dat een kwetsbaarheid in de management interface niet te exploiteren is vanaf internet en dat mag toch
ook wel terug komen in de waardering. Bijvoorbeeld dat alleen kwetsbaarheden die vanaf internet aan te vallen
zijn een waardering 8 of hoger kunnen krijgen.
betekent dat niet dat die waarderingsschaal een beetje aan het ontsporen is?
(krijgen we straks een 9.9, 9.9+, 9.9++ etc?)
Het lijkt me dat een kwetsbaarheid in de management interface niet te exploiteren is vanaf internet en dat mag toch
ook wel terug komen in de waardering. Bijvoorbeeld dat alleen kwetsbaarheden die vanaf internet aan te vallen
zijn een waardering 8 of hoger kunnen krijgen.
Het is fijn dat jij er zo over denkt, maar niet zo relevant. Er zijn namelijk naast jou nog duizenden mensen met kennis die hier een mening over hebben, en ze zijn het niet altijd eens. Daarom worden er standaarden ontwikkeld: om een gemeenschappelijke manier te hebben om zaken te beoordelen. Zo ook voor de CVSS score.
De CVSS score is door een grote groep specialisten ontwikkeld op basis van een systematiek die herhaalbaar en objectief toetsbaar is. Die wordt wereldwijd gebruikt en ook hier. Daar is 9,8 uit gekomen.
Ik zou zeggen: reken hem eens na volgens https://en.wikipedia.org/wiki/Common_Vulnerability_Scoring_System
Normaal staat hij ook al met toelichting bij de CVE database van Mitre (https://cve.mitre.org/cve/), maar deze kennelijk nu nog niet (te vers?)
Q
https://www.idc.com/getdoc.jsp?containerId=prUS46123820 De eerste concurrent is ... Huawai.
Na 30 jaar in de telecom business heb ik nog steeds geen achterdeur gespot in Huawei maar heb ik al meer dan 7 keer dit gespot in amerikaanse meuk en zo'n 420 lekken gezien die meer op een achterdeur lijken dan dom programmeerwerk.
zeg nu eerlijk, in 2020 mag je toch geen vaste accounts+wachtwoorden meer gebruiken in ROUTER software?
dat is niet eens meer sterk nalatig, dat is gewoon NSA/CIA broddelwerk.
Na 30 jaar in de telecom business heb ik nog steeds geen achterdeur gespot in Huawei maar heb ik al meer dan 7 keer dit gespot in amerikaanse meuk en zo'n 420 lekken gezien die meer op een achterdeur lijken dan dom programmeerwerk.
zeg nu eerlijk, in 2020 mag je toch geen vaste accounts+wachtwoorden meer gebruiken in ROUTER software?
dat is niet eens meer sterk nalatig, dat is gewoon NSA/CIA broddelwerk.
Nee ik ook niet, maar dat wil niet zeggen dat het er niet is. Misschien verstoppen ze het wel beter als Cisco.
Daarbij, laat het WAN evil LAN veilig idee los alstjeblieft. Hackers en pentesters komen regelmatig tijdens een test in een flat netwerk waar telnet met dit soort exploits bereikbaar is.
O EN NOG HET BELANGRIJKSTE:
jongens blijf lief tegen elkaar, we werken samen aan een veiliger nederland/IT. ;) have fun
Deze posting is gelocked. Reageren is niet meer mogelijk.
Junior DevOps Engineer
Certified Secure is op zoek naar een Junior DevOps Engineer. Deze functie is een stuk interessanter dan de term doet vermoeden! Om jou als potentiële nieuwe collega meteen te laten zien wat we doen hebben we speciaal voor jou een selectie gemaakt van een aantal leuke security challenges. Are you ready for a challenge?
Cybersecurity Trainer / Streamer
Toe aan een nieuwe nieuwe job waarmee je het verschil maakt? In de Certified Secure trainingen laat je deelnemers zien hoe actuele kwetsbaarheden structureel verholpen worden. Ook werk je actief mee aan de ontwikkeling van onze gamified security challenges. Bij het maken van challenges kom je telkens nieuwe technieken tegen, van Flutter tot GraphQL, van Elastic Search tot Kubernetes.
