TechTalkThai ศูนย์รวมข่าว Enterprise IT ออนไลน์แห่งแรกในประเทศไทย
หลังจากที่กลุ่มแฮ็คเกอร์ The Shadow Brokers ออกมาเผยแพร่ชุดเครื่องมือของ Equation Group ซึ่งเป็นกลุ่มแฮ็คเกอร์ที่ทำงานภายใต้สังกัดหน่วยงานด้านความมั่นคงของสหรัฐฯ NSA ล่าสุด Cisco ได้รับทราบช่องโหว่แบบ Zero-day บนอุปกรณ์ Firewall ที่ถูกเผยแพร่ พร้อมแนะนำวิธีป้องกันเบื้องต้น
ช่องโหว่ที่ Cisco ได้รับผลกระทบมีอยู่จำนวน 2 ช่องโหว่ โดยช่องโหว่แรก (CVE-2016-6366) เป็นกรณีที่เกิดกับ Cisco Adaptive Security Appliance (ASA) ซึ่งมีความรุนแรงแบบระดับสูง ช่องโหว่นี้จะทำให้ผู้โจมตีสามารถสร้าง Packet SNMP ปลอมเพื่อสั่งการทำงานบางอย่าง จนทำให้สามารถเข้าควบคุมเครื่องหรือสั่ง Reload เครื่องได้ทันที โดยรายการอุปกรณ์ที่ได้รับผลกระทบมีดังนี้
- Cisco ASA 5500 Series Adaptive Security Appliances
- Cisco ASA 5500-X Series Next-Generation Firewalls
- Cisco ASA Services Module for Cisco Catalyst 6500 Series Switches and Cisco 7600 Series Routers
- Cisco ASA 1000V Cloud Firewall
- Cisco Adaptive Security Virtual Appliance (ASAv)
- Cisco Firepower 9300 ASA Security Module
- Cisco PIX Firewalls
- Cisco Firewall Services Module (FWSM)
อย่างไรก็ตาม การโจมตีด้วยช่วงโหว่นี้จำเป็นต้องรู้ SNMP Community String ก่อน โดย Cisco แนะนำการป้องกันปัญหาเบื้องต้นด้วยการเปิดให้งาน SNMP เฉพาะอุปกรณ์อื่นที่ไว้ใจได้เท่านั้น และควรมีการเปลี่ยน SNMP Communiry String อย่างสม่ำเสมอ ปัจจุบัน Cisco เตรียมออก Patch เพื่ออุดช่องโหว่นี้แล้ว
ส่วนช่องโหว่อย่างที่สอง คือ ASA command-line (CLI) interface parser (CVE-2016-6367) ที่ทำให้แฮ็คเกอร์สามารถหยุดการทำงานของ ASA ได้ทันที แต่ผู้โจมตีต้องมีการยืนยันตัวตนก่อนการโจมตี ซึ่งช่องโหว่นี้ได้รับการ Patch ไปแล้วเมื่อ 5 ปีก่อน Cisco ASA มีที่ซอฟต์แวร์เวอร์ชันต่ำกว่า 8.4(1) จะได้รับผลกระทบ ผู้ใช้งานตรวจสอบเวอร์ชันและอัพเดทซอฟต์แวร์ให้ทันสมัยอยู่เสมอ
ที่มา : https://threatpost.com/cisco-acknowledges-asa-zero-day-exposed-by-shadowbrokers/119965/
