Cisco a signalé une vulnérabilité dans son logiciel Secure Firewall Management Center (FMC), qui pourrait permettre à des attaquants d’exécuter du code à distance et de prendre le contrôle total des systèmes concernés.
Cette faille ne nécessite ni interaction de l’utilisateur ni authentification.
« Un attaquant pourrait exploiter cette vulnérabilité en envoyant un objet Java sérialisé spécialement conçu à l’interface de gestion web d’un appareil concerné. Une exploitation réussie pourrait permettre à l’attaquant d’exécuter du code arbitraire sur l’appareil et d’élever ses privilèges au niveau root », a indiqué Cisco dans son avis de sécurité.
La vulnérabilité de gestion des pare-feu de Cisco
La vulnérabilité affecte Cisco Secure Firewall Management Center (FMC) et Cisco Security Cloud Control (SCC), des plateformes d’entreprise utilisées pour gérer centralement les politiques de pare-feu, surveiller l’activité réseau et contrôler les configurations de sécurité dans de vastes environnements.
La faille existe quelle que soit la configuration du système : les organisations ne peuvent donc pas réduire le risque en modifiant la configuration ou en appliquant des mesures d’atténuation temporaires.
L’application des mises à jour logicielles officielles de Cisco est actuellement le seul moyen efficace de remédier complètement au problème.
Cette vulnérabilité est particulièrement préoccupante, car les plateformes de gestion des pare-feu se trouvent au cœur de l’architecture de défense réseau d’une organisation.
Ces systèmes servent de plan de contrôle pour configurer les règles de pare-feu, appliquer les politiques de sécurité et surveiller le trafic réseau dans des environnements distribués.
S’il était compromis, un attaquant pourrait modifier les politiques de pare-feu, désactiver les protections ou manipuler les mécanismes de journalisation et de surveillance.
Le trafic malveillant pourrait ainsi circuler sur le réseau sans être détecté, affaiblir les contrôles de sécurité et permettre la compromission ultérieure de systèmes internes.
Cause première : une désérialisation non sécurisée dans l’interface de gestion
À l’origine du problème se trouve une faille de désérialisation non sécurisée dans l’interface de gestion web.
La vulnérabilité survient lorsque le système traite des flux d’octets Java fournis par l’utilisateur sans valider correctement les données.
Les vulnérabilités de désérialisation apparaissent lorsque des applications reconvertissent des données sérialisées en objets exécutables sans vérifier la fiabilité de l’entrée, ce qui permet aux attaquants de fournir des objets spécialement conçus contenant des instructions malveillantes.
Comment les attaquants pourraient exploiter la vulnérabilité
Dans ce scénario, un acteur malveillant pourrait envoyer un objet Java sérialisé malveillant directement à l’interface vulnérable.
Lorsque le système désérialise et traite l’objet, la charge utile pourrait déclencher l’exécution de code Java contrôlé par l’attaquant sur le système d’exploitation sous-jacent.
Comme le logiciel de gestion fonctionne avec des privilèges élevés, une exploitation réussie pourrait permettre à l’attaquant d’exécuter des commandes avec un accès de niveau root et de prendre le contrôle total du système concerné.
L’attaque peut être lancée à distance via le réseau, ne nécessite aucune authentification préalable et ne repose pas sur une interaction de l’utilisateur.
Cisco a publié un correctif et n’a constaté aucune exploitation active au moment de la publication.
Comment protéger l’infrastructure de gestion des pare-feu
Puisque la faille permet l’exécution de code à distance sans authentification et ne peut pas être atténuée par des modifications de configuration, l’application des correctifs disponibles et la restriction de l’accès aux interfaces de gestion constituent des mesures de protection importantes.
- Appliquez le dernier correctif pour remédier au problème.
- Restreignez l’accès aux interfaces de gestion des pare-feu au moyen d’une segmentation réseau, de listes de contrôle d’accès et d’exigences liées à un VPN ou à un bastion.
- Veillez à ce que les portails de gestion ne soient pas exposés à Internet public et ne soient accessibles que depuis des réseaux administratifs de confiance.
- Surveillez l’activité d’authentification, les modifications de configuration et les journaux système afin de détecter tout comportement suspect ou toute modification non autorisée des règles.
- Activez la journalisation centralisée et configurez SIEM ou d’autres outils de surveillance de la sécurité afin de générer des alertes en cas d’activité anormale ciblant l’infrastructure de gestion.
- Limitez les privilèges administratifs au moyen de contrôles d’accès fondés sur les rôles et imposez un accès à privilèges minimaux aux administrateurs des pare-feu.
- Testez les plans de réponse aux incidents, utilisez des outils de simulation d’attaque et organisez régulièrement des exercices sur table autour de scénarios d’attaques visant les systèmes de gestion réseau.
Collectivement, ces mesures peuvent contribuer à limiter l’ampleur potentielle d’une compromission et à renforcer la résilience globale de l’infrastructure de gestion réseau d’une organisation.
Les attaquants ciblent les infrastructures de sécurité
Cette découverte illustre également un problème plus large de la sécurité d’entreprise : les plateformes de gestion centralisée peuvent devenir des cibles privilégiées pour les attaquants.
Plutôt que de se concentrer uniquement sur des terminaux ou des serveurs individuels, les acteurs malveillants peuvent tenter de compromettre les systèmes qui gèrent ou contrôlent l’infrastructure de sécurité.
L’accès à une plateforme de gestion des pare-feu, par exemple, pourrait permettre à un attaquant de modifier les politiques de sécurité ou les paramètres de surveillance sur plusieurs systèmes.
Cette approche s’inscrit dans une tendance plus large, où les attaquants ciblent des infrastructures à privilèges élevés telles que les services d’identité, les consoles de gestion cloud et les plateformes d’orchestration de la sécurité.
Ces nouvelles méthodes d’attaque expliquent notamment pourquoi les organisations adoptent des solutions zero trust afin de limiter la confiance implicite et de réduire l’impact des compromissions touchant des systèmes centralisés.