命令注入漏洞可导致思科设备遭接管，引发供应链攻击

Nate Nelson 代码卫士

聚焦源代码安全，网罗国内外最新资讯！

专栏·供应链安全

数字化时代，软件无处不在。软件如同社会中的“虚拟人”，已经成为支撑社会正常运转的最基本元素之一，软件的安全性问题也正在成为当今社会的根本性、基础性问题。

随着软件产业的快速发展，软件供应链也越发复杂多元，复杂的软件供应链会引入一系列的安全问题，导致信息系统的整体安全防护难度越来越大。近年来，针对软件供应链的安全攻击事件一直呈快速增长态势，造成的危害也越来越严重。

为此，我们推出“供应链安全”栏目。本栏目汇聚供应链安全资讯，分析供应链安全风险，提供缓解建议，为供应链安全保驾护航。

注：以往发布的部分供应链安全相关内容，请见文末“推荐阅读”部分。

用于数据中心、大型企业、工业工厂、电厂、制造中心和智能城市电网中的思科设备中存在安全漏洞，可导致攻击者获得对这些设备和更多网络的无限访问权限。

昨天，Trellix公司的研究员发布报告披露了两个漏洞，其中一个影响如下思科网络设备：

Cisco ISR 4431 路由器
800 Series Industrial ISRs
CGR1000 Compute Modules
IC3000 Industrial Compute Gateways
配置IOx的基于IOS XE的设备
IR510 WPAN 工业路由器
Cisco Catalyst 访问点

影响上述设备的漏洞是CSCwc67015，存在于尚未发布的代码中，本可导致黑客远程执行代码并可能覆写设备上的多数文件。第二个漏洞CVE-2023-20076的危害更严重，它位于生产环境中，是一个命令注入漏洞，可导致越权根级别访问权限和远程代码执行后果。利用该漏洞不仅能获得设备操作系统的全部控制权限，还能在任何升级或重启后获得持久性。

鉴于思科网络设备用于全球数据中心、企业和政府机构中，也是工业站点中常见的设备，因此这些漏洞的影响巨大。Trellix 公司的高级研究员 Sam Quinn指出，“在路由器、交换机和网络世界中，思科是当前的市场之王。我们认为数千家企业可能受影响。”

近期出现的思科漏洞

研究人员认为，这两个漏洞是路由技术性质转变的副产品。当前网络管理员能够将应用容器甚至是整个虚拟机部署在这些微型服务器路由器上。复杂度增加引发的是功能的增加和攻击面的扩大。

报告解释称，“现代路由器就像高性能服务器，随着很多以太网端口不仅路由软件还在一些情况下，路由多个容器。”CSCwc67015和CVE-2023-20076均源自路由器的高阶应用托管环境。CSCwc67015说明在托管环境中，“恶意打包的应用能够在加压所上传应用的同时绕过重要的安全检查。”该检查试图防御位于Python某模块中已存在15年的一个路径遍历漏洞（CVE-2007-4559），该漏洞的CVSS评分为5.5，可导致恶意人员覆写任意文件。

同时，CVE-2023-20076也利用该能力，在思科路由器上部署应用容器和虚拟机。在这种情况下，它与管理员传递命令运行其应用的方式有关。研究人员发现，“接口设置中的‘DHCP 客户端ID’选项并未正确清理”，从而导致攻击者获得对设备的根访问权限，“能够注入任意OS命令”。利用该能力的黑客“可对设备功能和网络的整体安全性造成重大影响”，如，“修改或禁用安全特性、破坏网络流量、传播恶意软件并运行恶意进程”。后果远不止如此，研究人员还强调了“思科对安全的极高优先级做法使其尝试通过重启和系统重置处理攻击问题”。然而，在PoC 视频中，研究员展示了如何利用该命令注入漏洞获得完全不受限制的权限，导致恶意容器通过设备重启或固件升级的方式仍然存在。因此消除攻击的可能方式仅有两种：完全回复出厂设置或者手动识别并删除恶意代码。

思科工业设备：潜在的供应链风险

如果说这些bug也存在一丝好处的话，那就是利用它们都需要对相关的思科设备具有管理员权限。虽然有这一障碍，但黑客能够通过社工和提权的方式从受害者处获得管理员权限。研究人员也注意到用户通常不会更改默认用户名和密码，从而也不会对最敏感的账户部署防御措施。

我们也必须考虑供应链风险。报告强调称很多组织机构从第三方卖家购买网络设备或者通过第三方服务提供商获得设备配置和网络涉及信息。恶意厂商可利用CVE-2023-20076这样的漏洞做一些特别容易的、细微但强大的篡改操作。

单是该漏洞提供的权限就可“用于安装并隐藏后门，使得篡改对于终端用户而言完全透明”。当然，很大一部分第三方服务提供商都是完全诚信的业务，但这些企业本身受陷会导致它们成为一个争论点。

报告最后督促组织机构查看思科相关设备中是否存在异常容器，并建议未运行容器的组织机构完全禁用I0x容器框架。他们强调称，最重要的是，“拥有受影响设备的组织机构应当立即更新至最新固件版本”。

为保护自身安全，用户应尽快应用该补丁。

代码卫士试用地址：https://codesafe.qianxin.com

开源卫士试用地址：https://oss.qianxin.com