Ошибки разграничения доступа и обработки данных в Cisco APIC позволяют удалённо влиять на инфраструктуру

В Банке данных угроз безопасности информации (BDU) появились сведения о трёх уязвимостях в контроллере Cisco Application Policy Infrastructure Controller, сокращённо APIC. Этот продукт управляет сетевой политикой в центрах обработки данных и в программно-конфигурируемых сетях. Производитель подтвердил все три уязвимости. По базовой оценке они относятся к критическому уровню: 9,8 по CVSS 3.1 и 10 по CVSS 2.0. Атака возможна по сети, без учётной записи и без действий пользователя. Под угрозой оказались конфиденциальность, целостность и доступность защищаемой информации.

Детали уязвимостей

Cisco APIC - центральное звено управления инфраструктурой. Он задаёт правила, по которым коммутаторы и маршрутизаторы обрабатывают трафик, распределяют сегменты сети и применяют политики доступа. Администраторы работают с ним как с единой панелью управления. Поэтому компрометация контроллера затрагивает не одно устройство, а всю сеть дата-центра. Злоумышленник, получивший доступ к такой панели, может менять настройки, наблюдать за трафиком и нарушать связность сервисов.

Первая уязвимость связана с неправильным контролем доступа (CWE-284). Она позволяет обойти проверку авторизации. Иначе говоря, нарушитель получает возможность выполнять действия, которые ему не разрешены. Вторая уязвимость относится к недостаточному контролю ресурса в период его существования (CWE-664). Здесь слабое место кроется в управлении памятью и другими ресурсами. Эксплуатация ведёт к исчерпанию ресурсов, то есть к отказу в обслуживании. Третья уязвимость описывается как недостаточное обеспечение правильности сообщения или структуры данных (CWE-707). Она даёт возможность манипулировать структурами данных, которые контроллер принимает и обрабатывает.

Все три проблемы объединяет один вектор. Атака проводится удалённо, не требует предварительной аутентификации и не зависит от действий пользователя. Значит, достаточно сетевого доступа к интерфейсу управления, чтобы попытаться использовать любую из них. Сложность атаки оценивается как низкая. При этом сведения о наличии готовых эксплойтов и о реальных атаках пока уточняются. Следовательно, речь идёт о подтверждённом риске, а не о зафиксированном использовании.

Уязвимыми признаны ветки Cisco APIC до 6.0(9h), от 6.1 до 6.1(6g) и от 6.2 до 6.2(3g). Список затронутых операционных систем и аппаратных платформ в банке данных ещё уточняется. Производитель уже выпустил исправления и рекомендации по защите. Администраторам стоит перевести контроллер на версию, где проблемы закрыты. Кроме того, полезно ограничить доступ к интерфейсу управления: он не должен быть открыт из интернета, а круг лиц с правами администратора разумно сузить до необходимого минимума. Дополнительно имеет смысл включить журналирование действий в панели управления и следить за необычными запросами.

Значимость этих уязвимостей определяется ролью самого продукта. Контроллеры и системы оркестрации давно стали привлекательной целью, поскольку через них удобно воздействовать на всю инфраструктуру сразу. Одна ошибка в разграничении доступа или в обработке входных данных открывает путь к массовым изменениям конфигурации. Ошибка в управлении ресурсами приводит к отказу в обслуживании, а для дата-центра это означает недоступность сервисов.

Отдельно стоит учесть, что контроллер обычно не выставляют в открытый интернет. Доступ к нему организован через служебные сети. Значит, для эксплуатации уязвимостей нарушителю нужно сначала закрепиться внутри периметра. Это снижает вероятность массовых атак, но повышает ценность ошибки для тех, кто уже получил foothold во внутренней сети. В таких сценариях слабое место в APIC становится инструментом бокового перемещения и расширения контроля.

Для организаций, которые используют программно-конфигурируемые сети, практические шаги выглядят так: инвентаризация всех экземпляров контроллера, проверка их версий, установка обновлений, пересмотр правил доступа к управляющим интерфейсам. Полезно также проверить журналы за период, когда исправления ещё не были установлены, и убедиться, что подозрительных обращений к панели управления не было. Если такие обращения есть, стоит рассматривать их как попытку эксплуатации и провести проверку конфигурации сети.

Уязвимости подтверждены производителем, исправления доступны, поэтому окно риска зависит от скорости обновления. Чем дольше контроллер остаётся на старой ветке, тем дольше сохраняется возможность удалённого воздействия на сеть. Регулярная проверка версий управляющих систем и ограничение доступа к ним остаются базовыми мерами, которые снижают последствия подобных ошибок.

Детали уязвимостей

Ссылки