Aktive Ausnutzung bestätigt
Cisco warnt vor laufenden Angriffen auf das Secure Firewall Management Center (FMC). Ursache ist eine Sicherheitslücke im Webinterface, die auf fest einprogrammierte Zugangsdaten für ein internes Benutzerkonto zurückzuführen ist. Angreifer können diese Zugangsdaten nutzen, um sich auf verwundbaren Systemen anzumelden und auf sensible Informationen zuzugreifen.
Die US-amerikanische Cybersecurity and Infrastructure Security Agency (CISA) hat die Schwachstelle bereits in ihren Katalog der aktiv ausgenutzten Sicherheitslücken aufgenommen. Cisco bestätigt ebenfalls, dass die Schwachstelle derzeit für Angriffe missbraucht wird, und stuft das Risiko aufgrund möglicher Angriffsketten als hoch ein.
Kombination mit weiteren Schwachstellen
Besonders kritisch ist, dass sich die Lücke mit bereits bekannten Schwachstellen kombinieren lässt. Dadurch können Angreifer ihre Berechtigungen erweitern und im schlimmsten Fall Code mit Root-Rechten auf dem betroffenen System ausführen. Dies erhöht das Gefährdungspotenzial für ungepatchte Installationen erheblich.
Nur Updates bieten Schutz
Temporäre Gegenmaßnahmen oder Workarounds stehen nicht zur Verfügung. Cisco empfiehlt daher dringend, die bereitgestellten Hotfixes für die betroffenen Versionen des Secure Firewall Management Centers schnellstmöglich zu installieren. Zwar reduziert eine nicht öffentlich erreichbare Managementoberfläche das Risiko, vollständig beseitigen lässt sich die Schwachstelle jedoch nur durch die Installation der Sicherheitsupdates.
Systeme auf Kompromittierung prüfen
Da die Sicherheitslücke bereits aktiv ausgenutzt wird, sollten Administratoren betroffene FMC-Systeme sorgfältig auf Anzeichen einer Kompromittierung überprüfen. Cisco stellt hierfür Indicators of Compromise (IOCs) bereit und empfiehlt, bei entsprechenden Funden den Technical Assistance Center (TAC) zur Unterstützung bei der Analyse und Wiederherstellung einzubeziehen.