Инженеры компании Cisco сообщают, что в свитчах серии Small Business (работающих с любыми версиями ПО) был обнаружен дефолтный аккаунт, дающий полный доступ к устройству. Проблема затрагивает свитчи Cisco Small Business серий 200, 300 и 500, «умные» свитчи серий Cisco 250 и 350, а также серии Cisco 350X и 550X. Отдельно сообщается, что серии 220 баг не коснулся.
Эта учетная запись имеет привилегии администратора и просто удалить ее из системы нельзя. Вместо удаления разработчики пока предлагают временное решение проблемы: нужно создать в системе хотя бы один аккаунт с привилегиями level 15, что является аналогом root/administrator. Тогда забытый на устройствах бэкдор станет неактивен.
Нужно сказать, что это уже седьмой бэкдор-аккаунт, удаленный из продуктов Cisco в этом году. Полный список за этот год выглядит следующим образом:
- Март - CVE-2018-0141— Cisco Prime Collaboration Provisioning;
- Май - CVE-2018-0150—Cisco IOS XE;
- Май - CVE-2018-0222— Cisco Digital Network Architecture;
- Июнь - CVE-2018-0329— Cisco Wide Area Application Services;
- Июль - CVE-2018-0375— Cisco Policy Suite Cluster Manager;
- Сентябрь - CVE-2018-15427 — Cisco Video Surveillance Manager;
- Ноябрь - CVE-2018-15439 – свитчи Cisco Small Business.
При этом большинство бэкдоров разработчики Cisco находили сами, и это оказывались обычные отладочные решения, случайно забытые в коде. Только проблема CVE-2018-0329 и свежая CVE-2018-15439 были обнаружены сторонними ИБ-специалистами. Дело в том, что начиная с 2015 года инженеры Cisco регулярно проверяют свои исходники. Этот процесс начался с масштабного внутреннего аудита, запущенного после того, как сторонние исследователи обнаружили бэкдор в составе ScreenOS. Данный бэкдор позволял расшифровывать VPN-трафик на устройствах Juniper, работающих под управлением определенных версий ScreenOS.
