En effet, l’entreprise a annoncé que trois sérieux problèmes avaient été découverts par un chercheur dans sa gestion web.
Deux des trois failles de sécurité, CVE-2019-1913 et CVE-2019-1912, sont considérées comme “critiques” car elles permettent à des attaquants de lancer respectivement, une exécution de code à distance (RCE) et un contournement de l’authentification.
Cela signifie que des pirates pourraient accéder à la racine et compromettre les switches (commutateurs) en envoyant des requêtes malveillantes.
Néanmoins, cette éventualité dépend de l’activation du HTTP/HTTPS (les commutateurs peuvent également être gérés à l’aide de la ligne de commande ou via le SNMP), ce qui peut être déterminé en saisissant la commande show running-config via la ligne de commande.
Le commutateur n’est pas vulnérable si les lignes suivantes apparaissent dans la configuration :
no ip http server
no ip http secure server
La fonctionnalité de gestion web est activée sous Security > TCP/UDP Service.
La troisième faille, CVE-2019-1914, est un problème d’injection de commande moins dangereux, car un attaquant devrait d’abord s’authentifier en volant ou en piratant les identifiants de gestion.
Annoncée en 2014, la série 220 constitue une cible attrayante pour les pirates simplement parce qu’il s’agit d’un produit destiné aux petites entreprises et utilisé par un grand nombre de clients à travers le monde.
La liste des modèles de la série 220 concernés : SG220-50P, SG220-50, SG220-26P, SG220-26, SF220-48P, SF220-48, SF220-24P, SF220-24.
Les trois vulnérabilités ont été découvertes par un chercheur identifié sous le nom de “bashis” et communiquées à Cisco dans le cadre du programme de divulgation dirigé par la société israélienne VDOO, qui a révélé l’an dernier des failles de sécurité dans les webcams de Foscam.
Quoi faire
Pour les réseaux utilisant l’interface de gestion web, la seule solution consiste à installer la version du firmware 1.1.4.4 (toutes les versions précédentes sont vulnérables). Bien que Cisco indique qu’aucune mesure d’atténuation n’est possible, de toute évidence, une mesure d’atténuation à court terme consisterait à désactiver l’interface de gestion.
La série 220 semble avoir été corrigée concernant une autre faille de gravité moyenne, début 2019, avec quatre autres failles corrigées, quant à elles, au cours de l’année 2016.
Billet inspiré de Cisco 220 Series Smart Switch owners told to apply urgent patch, sur Sophos nakedsecurity.