Cisco ha chiuso una vulnerabilità zero-day nel software VPN Cisco AnyConnect Secure Mobility Client. La falla era monitorata con la sigla CVE-2020-3556 da novembre 2020. L'azienda aveva fin da subito pubblicato delle misure di mitigazione per ridurre la superficie di attacco, ma mancava all'appello la patch, arrivata nelle ultime ore.
AnyConnect Secure Mobility Client è un prodotto che consente di lavorare su dispositivi aziendali connessi a una VPN sicura tramite SSL (Secure Sockets Layer) e IPsec IKEv2 utilizzando client VPN disponibili per tutte le principali piattaforme desktop e mobile. Il problema riguardava tutte le versioni client Windows, Linux e macOS con configurazioni vulnerabili. Erano invece al sicuro client mobili iOS e Android.
La falla era legata a una vulnerabilità nel canale IPC (Interprocess Communication) del client Cisco AnyConnect.
Era in circolazione un exploit proof-of-concept, ma
non risulta che la falla sia stata sfruttata per perpetrare attacchi perché richiedeva che fosse attiva una sessione AnyConnect e che l'attaccante fosse a conoscenza di credenziali valide per il dispositivo target.
Tutte le versioni software dalla 4.10.00093 e successive sono ora protette, sia grazie alla patch, sia grazie a nuove impostazioni che non permettono l'esecuzione singola di script o aggiornamenti dei criteri locali. Infatti, dopo l'installazione della patch la falla non è più sfruttabile sui notebook utilizzati da un singolo utente. Richiede accessi validi per più utenti.
Non è più sfruttabile nemmeno da remoto, perché ora sono necessarie credenziali locali per poter intervenire su un sistema. Cisco chiarisce inoltre che d'ora in poi la falla non potrà essere sfruttata per l'escalation dei privilegi, perché gli script vengono eseguiti per impostazione predefinita a livello di utente.
In caso non sia possibile installare immediatamente la patch, restano valide le misure di mitigazione già indicate in passato. In particolare, si può ridurre la superficie di attacco disabilitando l'impostazione di configurazione "Abilita script" nei dispositivi in cui è attivata.
Infine, vale la pena ricordare che la scorsa settimana Cisco ha risolto anche alcune vulnerabilità critiche del software
SD-WAN vManage e HyperFlex HX che consentivano ad attaccanti da remoto di creare account amministratore o eseguire comandi arbitrari.