鑽石舞台

這些漏洞影響思科Adaptive Security Appliance (ASA) 軟件（思科企業級防火牆的操作系統）及其生態系統。其中最嚴重的漏洞是CVE-2022-20829，是因為Adaptive Security Device Manager (ASDM) 二進制包未進行數字化簽名導致的，組合該漏洞和對服務器SSL證書的驗證失敗漏洞可使攻擊者部署自定義ASA二進制，將文件安裝到管理員計算機上。

Rapid 7 公司的首席安全研究員 Jake Baines 指出，由於管理員希望在設備上預裝ASDM 軟件，因此未簽名的二進制使攻擊者可發動嚴重的供應鏈攻擊，「如果有人購買了ASA設備，攻擊者在上面安裝了自己的代碼，則攻擊者無法在ASA設備上獲得 shell，但如果管理員連接到設備，則攻擊者會在管理員計算機上獲得 shell。對我而言，這是最危險的攻擊。」

這些漏洞可能影響運行ASA軟件的設備和虛擬實例，有一些漏洞位於 Firepower 下一代防火牆模塊。思科的客戶遍布全球，部署的ASA設備超過100萬台。Shodan 搜索顯示，僅有20%左右設備的管理接口暴露到互聯網。

如用於供應鏈攻擊，這些漏洞可使攻擊者在網絡邊緣（多數安全團隊不會分析是否存在威脅的地方）攻陷虛擬設備。

完整訪問權限

Baines 表示，「如果你可訪問虛擬機，則可完全訪問網絡內部，但更重要的是，你可以嗅探所有經過的流量，包括解密的VPN流量。因此，這是攻擊者跳轉的好地方，不過很可能僅能嗅探憑據或監控流入網絡的流量。」

Baines 在調查思科ASDM以了解「GUI如何運作」並研究協議時發現了該漏洞。攻擊者可利用安裝在管理員系統上的組件 ASDM 啟動工具，在Java類文件中或通過ASDM Web 門戶傳播惡意代碼。如此，攻擊者可創建惡意ASDM 包，通過安裝程序、惡意網頁和惡意Java組件來攻陷管理員系統。

研究人員發現的ASDM漏洞中包含一個已知漏洞 (CVE-2021-1585)，可導致未認證的遠程代碼執行攻擊。思科表示該漏洞已修復，但研究員發現仍未修復。

除了ASDM漏洞外，研究員還在 Firepower 下一代防火牆模塊中發現了少量安全弱點，包括一個認證的遠程命令注入漏洞 (CVE-2022-20828)。該Firepower 模塊是託管在ASA設備上的基於 Linux 的虛擬機，運行Snort 掃描軟件對流量進行分類。

思科發布安全公告表示，「該漏洞帶來的最終啟示應該是，將ASDM暴露到互聯網上可能對於使用Firepower模塊的ASA來說非常危險。雖然它可能是憑據攻擊，但ASDM的默認認證計劃會將用戶名和密碼暴露給活躍的中間人攻擊者。」

思科ASA設備的更新較為複雜，因此企業在緩解漏洞時會遇到問題。Baines表示，部署最為廣泛的ASA軟件版本已存在五年。僅有約一半的安裝程序在7天內更新了ASA軟件，「由於不存在自動打補丁特性，因此該設備操作系統的最流行版本就非常老舊。」

思科還必須修復其它產品中的安全問題。上周，思科披露了位於小企業路由器RV系列中的三個漏洞。攻擊者可組合利用這些漏洞在思科小企業RV160、RV260、RV340和RV345系列路由器上，在無需認證的前提下執行任意代碼。