0xreadingsteiner/cisco-security-researchRicerca indipendente sulla sicurezza dei prodotti Cisco — CUCM, Expressway, FTD, ISE
Ricercatore: 0xReadingSteiner Contatto: [email protected] Vendor: Cisco Systems, Inc. Vendor Notificato: 2026-08-04 (Cisco PSIRT, ZDI, SSD) Risposta del Vendor: Nessuna
La ricerca di sicurezza indipendente su prodotti Cisco disponibili in commercio ha identificato vulnerabilità critiche in più linee di prodotto — inclusi i sistemi su cui le aziende fanno affidamento per le comunicazioni vocali, la collaborazione e la sicurezza di rete.
Sono stati effettuati molteplici tentativi di coordinamento prima della pubblicazione:
Il rifiuto di Cisco di collaborare lascia i difensori aziendali all'oscuro. Questi advisory esistono affinché le organizzazioni che gestiscono infrastrutture Cisco possano valutare il proprio rischio e adottare misure protettive.
| Prodotto | Ruolo | Stato |
|---|---|---|
| Cisco Unified Communications Manager (CUCM) 15.x | Elaborazione delle chiamate vocali aziendali | Attivo — 55+ vulnerabilità identificate, 3 kill chain pubblicate (incl. cross-product False;Relay) |
| Cisco Expressway X14.x / X15.x | Collaboration edge / proxy di traversal | Attivo — Blind;Wire (SIP smuggling pre-auth) + False;Relay (catena del corridoio MRA) + Null;Tone (saturazione del component-bus pre-auth, C ed E) pubblicati |
| Cisco Firepower Threat Defense (FTD) | Firewall di nuova generazione / IPS | In arrivo |
Ogni advisory combina più vulnerabilità in una narrazione di attacco completa.
| # | Nome | Componenti | Sintesi | CVSSv3.1 | Data |
|---|---|---|---|---|---|
| 01 | Silent;Call | Spoofhack → Keyhack → Roothack | Root remoto pre-autenticazione — 3 richieste HTTP, zero credenziali | 10.0 | 2026-08-04 |
| 03 | Dead;Dial | Spoofhack → Deployhack → Lookaphack | RCE pre-auth tramite Apache Axis AdminService dell'era 2006 + iniezione JNDI in WebDialer — sopravvive alla rotazione delle credenziali di Tomcat Manager | 10.0 | 2026-08-10 |
| # | Nome | Componenti | Sintesi | CVSSv3.1 | Data |
|---|---|---|---|---|---|
| 02 | Blind;Wire | Zerohack | SIP request smuggling pre-autenticazione — Content-Length: 2³² va in wrap a 0, trasformando il proxy edge in un tunnel cieco alle policy | 8.1 | 2026-08-10 |
| 05 | Null;Tone | Squathack → Burnhack | Blackout del component-bus XCP pre-auth su entrambi C ed E — name-squat di qualsiasi component id + depth-bomb Θ(n²) (limiti hardcoded 0/0, nessuna manopola per l'operatore) satura entrambi i core a ~10 KB/s sostenuti; :7400 non ha copertura fail2ban; verificato dal vivo il 2026-10-05 su due appliance in versione di produzione (ΔCPU +218,6 s / +92 s, probe da 0,00 s→18,18 s, recupero pulito con pid continuo) | 8.2 | 2026-10-05 |
| # | Nome | Componenti | Sintesi | CVSSv3.1 | Data |
|---|---|---|---|---|---|
| 04 | False;Relay | Blankhack → Seedhack → corridor → Badgehack (＋ Splithack / Wraphack / Namehack) | Abuso del corridoio MRA — gate edge solo-presence + seeding delle credenziali di relay senza autenticazione + falsificazione dell'identità tramite chiave di cluster: dati CUCM pre-auth di origine internet (200 UDS XML live) e accettazione di sessioni SSO con Bearer falsificato, dimostrati dal vivo end-to-end sia su un percorso seeded sia su un percorso con credenziali puramente reali. Estensione del 2026-09-28: risolto il gate delle risorse utente UDS — un token falsificato con sub corrispondente legge il record di qualsiasi utente e ne scrive il PIN/le credenziali da internet (204, verificato a livello di database); account takeover per singolo utente, silenzioso, tutto 2xx. Zero tick fail2ban sul percorso di successo. | 10.0 (composto) / 8.5 (un account MRA) | 2026-09-28 |
Ulteriori kill chain saranno pubblicate su base continuativa.
Ogni kill chain è composta da singole vulnerabilità, documentate separatamente per il tracciamento CVE.
| ID | Nome | Titolo | CWE | Utilizzata in |
|---|---|---|---|---|
| SKYLINE-2026-001 | Spoofhack | Fiducia nell'header X-Forwarded-For senza restrizioni | CWE-644 | Silent;Call, Dead;Dial |
| SKYLINE-2026-002 | Keyhack | Credenziali hardcoded di Tomcat Manager | CWE-798 | Silent;Call |
| SKYLINE-2026-003 | Roothack | Molteplici percorsi di escalation dei privilegi sudo senza restrizioni | CWE-269 | Silent;Call |
| SKYLINE-2026-057a | Deployhack | Distribuzione arbitraria di classi tramite Apache Axis AdminService | CWE-306 | Dead;Dial |
| SKYLINE-2026-057b | Lookaphack | Iniezione JNDI tramite servizio SOAP distribuito | CWE-502 | Dead;Dial |
| SKYLINE-2026-004 | Badgehack | Accettazione di access token Bearer contraffatti tramite falsificazione dell'identità con chiave di cluster | CWE-287 | False;Relay |
