Thiết bị bảo mật của Cisco bị nhắm mục tiêu tấn công DoS thông qua một lỗ hổng cũ

Một lỗ hổng nghiêm trọng vốn đã được phát hiện và vá thành công vào giữa năm 2018 đã được báo cáo xuất hiện trở lại trên các thiết bị Adaptive Security (ASA) và Firepower của Cisco, tạo điều kiện cho hacker triển khai các cuộc tấn công DoS.

Cisco hiện đã phát đi cảnh báo cho khách hàng và kêu gọi tuân theo các khuyến nghị bảo mật đã được nêu rõ nhằm hạn chế tối đa rủi ro từ lỗ hổng.

Lỗ hổng bảo mật nêu trên được theo dõi với định danh CVE-2018-0296, có thể bị lạm dụng bởi những kẻ tấn công từ xa, không xác thực, khiến thiết bị liên tục phải reload bằng cách gửi yêu cầu HTTP được tạo thủ công.

Ngoài ra, kẻ tấn công cũng có thể khai thác lỗ hổng để truy cập vào thông tin nhạy cảm trên hệ thống mà không cần xác thực. Điều này có thể đạt được thông qua các kỹ thuật truyền tải đường dẫn trên thiết bị bị ảnh hưởng.

Lỗ hổng này trên thực tế đã được vá từ năm ngoái, nhưng đột ngột có dấu hiệu quay trở lại trong thời gian vài tuần trở lại đây với số lượng các trường hợp báo cáo tăng đột biến, nghiêm trọng đến mức Cisco phải đưa ra thông báo đề nghị người dùng ASA và Firepower kiểm tra cũng như nâng cấp, cập nhật phần mềm để bảo đảm an toàn.

Kiểm tra rủi ro

Quản trị viên muốn xác định xem các thiết bị mà mình quản lý có bị ảnh hưởng bởi CVE-2018-0296 hay không, hãy chạy lệnh sau:

show asp table socket | include SSL|DTLS

Sự tồn tại của lỗ hổng sẽ được hiển thị theo trạng thái của các socket. Để tìm ra trạng thái ảnh hưởng của lỗ hổng đối với thiết bị, sử dụng lệnh sau:

show processes | include Unicorn

Tiến trình này sẽ hoạt động đối với các thiết bị có nguy cơ cao bị ảnh hưởng bởi lỗ hổng.

Trong trường hợp trên, để xác định chính xác có rủi ro tiềm ẩn hay không, quản trị viên nên kiểm tra xem phiên bản phần mềm đang chạy trên thiết bị của mình có nằm trong danh sách các phiên bản bị hưởng bởi lỗi không, đã được Cisco nêu rõ trong thông báo này.

Lý do bạn nên kiểm tra trước khi quyết định cập nhật mã lên phiên bản mới hơn là do lỗ hổng nằm trong khung web của các sản phẩm ASA/Firepower, vì vậy không phải tất cả các thiết bị đều bị ảnh hưởng.