Aanvallers maken actief misbruik van jarenoude kwetsbaarheden in apparatuur van Cisco, waaronder een kritiek beveiligingslek dat sinds 28 maart 2018 bekend is. Dat laat securitybedrijf GreyNoise op basis van eigen bevindingen weten. Twee andere kritieke kwetsbaarheden die bij aanvallen worden ingezet zijn sinds 2023 bekend. De aanvallen, onder andere gericht tegen Amerikaanse telecomproviders, zouden het werk zijn van een groep genaamd Salt Typhoon.

Begin deze maand meldde securitybedrijf Recorded Future op basis van eigen onderzoek dat de groep verschillende Cisco-kwetsbaarheden had gebruikt om systemen te compromitteren. Cisco kwam vervolgens met een reactie op de berichtgeving en stelde dat het misbruik van deze beveiligingslekken niet kon bevestigen. Bij de systemen die Cisco onderzocht wisten de aanvallers via gestolen inloggegevens initiële toegang krijgen, aldus het netwerkbedrijf. Hoe de aanvallers deze inloggegevens konden bemachtigen is niet bekend.

Eén systeem dat Cisco onderzocht was via een oude kwetsbaarheid gecompromitteerd (CVE-2018-0171), maar deze activiteit kon Cisco naar eigen zeggen niet aan Salt Typhoon toeschrijven. CVE-2018-0171 betreft een kritieke kwetsbaarheid in de Smart Install feature van Cisco IOS en IOS XE waardoor een ongeauthenticeerde aanvaller willekeurige code op kwetsbare apparaten kan uitvoeren. Smart Install is een 'plug-and-play' feature voor het op afstand configureren en uitrollen van switches, dat 'by design' geen authenticatie vereist.

"CVE-2018-0171 werd zeven jaar geleden bekendgemaakt, maar geavanceerde aanvallers blijven er gebruik van maken", aldus Noah Stone van GreyNoise. Twee andere Cisco-beveiligingslekken die aanvallers volgens Stone actief bij aanvallen inzetten zijn CVE-2023-20198 en CVE-2023-20273. Het gaat om twee kwetsbaarheden in de web UI feature van Cisco IOS XE, waardoor een ongeauthenticeerde aanvaller kwetsbare systemen op afstand kan overnemen.

De impact van CVE-2023-20198 is op een schaal van 1 tot en met 10 beoordeeld met een 10.0. Al voor het uitkomen van updates werd CVE-2023-20198 bij aanvallen ingezet. Ondanks de leeftijd van de Cisco-kwetsbaarheden proberen aanvallers er nog altijd misbruik van te maken, aldus GreyNoise. Organisaties worden dan ook opgeroepen om alle Cisco-updates meteen te installeren en toegang tot management-interfaces te beperken.