Il 16 ottobre Cisco ha avvisato che una vulnerabilità finora sconosciuta nell’interfaccia web di IOS XE, il sistema operativo di molti router e switch, viene sfruttata attivamente. La CVE-2023-20198 ha gravità 10 su 10, e una correzione al momento non c’è.
La falla permette a un attaccante remoto, senza credenziali, di creare un account con privilegio 15, cioè con il pieno controllo del dispositivo. Negli attacchi osservati, gli aggressori hanno poi installato un impianto, un piccolo programma che esegue comandi arbitrari ricevuti tramite richieste web. L’impianto non sopravvive al riavvio. L’account creato sì. Cisco ha visto le prime attività sospette già il 18 settembre, quasi un mese prima dell’avviso.
Sono vulnerabili tutti i dispositivi fisici e virtuali con IOS XE e la funzione HTTP o HTTPS Server attiva. Le scansioni di diversi ricercatori hanno trovato l’impianto su decine di migliaia di apparati: il 18 ottobre erano oltre 40.000, soprattutto negli Stati Uniti e nelle Filippine, spesso di piccole organizzazioni e di singoli utenti. Chi ci sia dietro e cosa voglia farne, per ora, non si sa.
L’interfaccia che nessuno usa
Molti di quei dispositivi avevano l’interfaccia web accesa e raggiungibile da Internet senza che nessuno la usasse, un’impostazione rimasta com’era dall’installazione. Su un router gestito da riga di comando, quella porta aperta non portava alcun vantaggio, solo rischio.
Senza patch, la mossa è spegnerla. Su ogni dispositivo esposto lancia no ip http server e no ip http secure-server, poi salva la configurazione. Se l’interfaccia web ti serve davvero, limitane l’accesso alle reti fidate con liste di accesso.
Poi controlla la configurazione alla ricerca di utenti locali che non riconosci e di file creati di recente, e usa la verifica indicata da Cisco per capire se l’impianto è presente. Ricorda che un riavvio lo elimina ma lascia gli account, quindi non considerarlo una pulizia. Se trovi segni di compromissione, tratta il dispositivo come compromesso: rimuovi gli account, cambia tutte le credenziali e rileggi la configurazione riga per riga.
La correzione, quando arriverà, va installata subito. Ma l’interfaccia web, se non la usi, conviene lasciarla spenta anche dopo.
