Cisco Access Control Server (ACS)

Интегрированная система безопасности дата-центра построена на базе программно-аппаратного комплекса Cisco Access Control (СКУД), основными компонентами которого являются сервер с программным обеспечением Cisco Physical Access Manager (Cisco PAM) и контроллеры, к которым подключены RFID- и биометрические считыватели, исполнительные устройства и другое оборудование.

2018:Опасная уязвимость в Cisco ACS

7 июня 2018 года стало известно, что эксперты Positive Technologies Михаил Ключников и Юрий Алейнов обнаружили критически опасную уязвимость в веб-интерфейсе сервера управления доступом Cisco ACS1. Недостаток безопасности позволяет неавторизованному атакующему выполнять произвольные команды на сервере от лица привилегированного пользователя.

Уязвимость CVE-2018-0253 получила оценку 9,8 балла по шкале CVSS v. 3.0, что означает критический уровень опасности. Если злоумышленник уже находится во внутренней сети, то он может изменять или собирать учетные данные пользователей сетевых устройств, атаковать другие ресурсы внутренней сети или проводить атаки «человек посередине». Если же веб-интерфейс Cisco ACS доступен из внешней сети, то эти действия могут проводиться из любой точки мира.

«При интеграции Cisco ACS с Microsoft Active Directory, что случается весьма часто, атакующий может украсть учетную запись администратора домена, а при менее благоприятных условиях (без интеграции с Active Directory) — получить контроль над роутерами и межсетевым экранами для прослушивания трафика всей сети (включая конфиденциальные данные) или доступ к закрытым сегментам сети, например процессингу в банке». Михаил Ключников, специалист отдела анализа защищенности веб-приложений Positive Technologies

Проблема связана с некорректной обработкой сообщений протокола AMF3 на сервере. В составе сообщения AMF3 злоумышленник может передать специально подготовленный Java-объект в сериализованном виде. При десериализации этого объекта сервер загрузит вредоносный код из источника, указанного нарушителем, и выполнит его.

Уязвимости подвержены версии Cisco ACS, выпущенные до v5.8.0.32.7 (авторизация не требуется), а также v5.8.0.32.7 и v5.8.0.32.8 (требуется авторизация). Для устранения проблемы производитель рекомендует обновить сервер до версии 5.8.0.32.9 или более поздней.

Для выявления действий злоумышленников компания Positive Technologies предлагает использовать систему управления событиями информационной безопасности MaxPatrol SIEM. В апреле в MaxPatrol SIEM были добавлены 26 правил обнаружения инцидентов в Active Directory; службы каталогов Microsoft зачастую тесно интегрированы с Cisco ACS в корпоративных сетях и нередко являются главной мишенью атак.

Дополнительно для защиты от кибератак с использованием этой уязвимости может применяться межсетевой экран прикладного уровня PT Application Firewall, в котором реализованы защита от атак, связанных с десериализацией в Java, и поддержка протокола AMF.