homjxi0e/cve-2017-3881-cisco
Hast du auf deinen Catalyst-Switches noch Telnet aktiviert? Überleg es dir zweimal – hier ist ein Proof-of-Concept-Exploit für Remote-Codeausführung auf einem Catalyst-2960-Switch mit der neuesten empfohlenen Firmware. Schau dir den Exploit-Code hier an. Im Folgenden findest du eine detaillierte Aufarbeitung des Exploit-Entwicklungsprozesses für die Schwachstelle, die am 7. März 2017 aus dem Archiv der CIA geleakt wurde und am 17. März 2017 von Cisco Systems öffentlich bekannt gegeben wurde. Zum Zeitpunkt dieses Beitrags ist noch kein Patch verfügbar. Trotzdem gibt es eine Abhilfe - deaktiviere Telnet und verwende stattdessen SSH.
Eine Reihe von Dokumenten der CIA wurde am 7. März 2017 geleakt und auf WikiLeaks veröffentlicht. Unter anderem gab es eine interessante Preauth-Codeausführungs-Schwachstelle, die mehrere Cisco-Switches betraf. Diese Schwachstelle trägt in den durchgesickerten Dokumenten den Codenamen ROCEM. Auch wenn nur sehr wenige technische Details erwähnt wurden, fallen einige Dinge auf.
Die Dokumente zu Vault 7 beleuchten den Testprozess für den eigentlichen Exploit. In dem Leak ist kein Quellcode des Exploits verfügbar. Dort werden zwei Anwendungsfälle hervorgehoben - das Tool kann entweder im interaktiven Modus oder im Set-Modus gestartet werden. Der interaktive Modus sendet den Payload über Telnet und verschafft dem Angreifer unmittelbar eine Befehlsshell im Kontext derselben Telnet-Verbindung. Zitat aus dem Dokument:
