djayagit/cve-2023-20198-poc-ciscoCVE-2023-20198 ist eine schwerwiegende Sicherheitslücke in der Web UI-Funktion von Cisco IOS XE Software, die es nicht authentifizierten Remote-Angreifern ermöglicht, auf betroffenen Systemen ein Konto mit Privilegstufe 15 zu erstellen und damit die vollständige Kontrolle über das Gerät zu erlangen.
CVE-2023-20198 ist eine kritische Schwachstelle in der Web-UI-Funktion von Cisco IOS XE Software, die es nicht authentifizierten Remote-Angreifern ermöglicht, Konten mit Privilegstufe 15 auf betroffenen Systemen zu erstellen und so die vollständige Kontrolle über das Gerät zu erlangen.
Die Schwachstelle entsteht hauptsächlich durch eine unsachgemäße Handhabung der Pfadauflösung in der Web-UI-Funktion. Angreifer nutzen sorgfältig konstruierte HTTP-Anfragen mit doppelter URL-Kodierung, um den Nginx-Pfadfiltermechanismus zu umgehen und direkt auf geschützte interne Endpunkte wie /webui_wsma_http zuzugreifen. Über diese Endpunkte können Angreifer speziell gestaltete SOAP-Anfragen senden, um beliebige CLI-Befehle auszuführen oder Konfigurationsänderungen vorzunehmen.
Konkret werden die angeforderten Pfade doppelt kodiert, sodass Nginx bei der Analyse den unbefugten Zugriff nicht korrekt erkennt und blockiert, und die nicht autorisierten Anfragen an den Backend-Dienst iosd weitergeleitet werden. Über diesen Dienst können Angreifer die Web Service Management Agent (WSMA)-Funktion nutzen, um SOAP-Anfragen zu senden, Benutzerkonten mit höchsten Berechtigungen zu erstellen und so die vollständige Kontrolle über betroffene Geräte zu erlangen.
Cisco hat ein Sicherheitsbulletin veröffentlicht und empfiehlt Benutzern, so schnell wie möglich auf die behobene Version zu aktualisieren und entsprechende Sicherheitsmaßnahmen zu ergreifen, um solche Angriffe zu verhindern.
