Cisco verwijdert hardcoded wachtwoord dat aanvaller root-toegang geeft
Cisco heeft in een product dat de hulpdiensten in de Verenigde Staten en Canada gebruiken om telefoongesprekken naar het noodnummer 911 te routeren en de locatie van de beller vast te stellen een hardcoded wachtwoord verwijderd waarmee een ongeauthenticeerde aanvaller als root op het systeem kon inloggen.
De kritieke kwetsbaarheid, aangeduid als CVE-2023-20101, bevindt zich in de Cisco Emergency Responder. Deze oplossing moet ervoor zorgen dat de Cisco Unified Communications Manager of andere voip-oplossing noodgesprekken naar de juiste lokale meldkamer doorstuurt. Ook worden via de oplossing logs van noodoproepen bijgehouden, alsmede de locatie van de beller vastgesteld.
De Cisco Emergency Responder bevat een hardcoded wachtwoord voor een root-account dat niets is te verwijderen of aan te passen. Volgens Cisco worden dergelijke hardcoded inloggegevens meestal gebruikt tijdens de ontwikkeling. Via het beveiligingslek, waarvan de impact op een schaal van 1 tot en met 10 met een 9.8 is beoordeeld, kan een aanvaller als root op een kwetsbaar systeem inloggen. Organisaties worden opgeroepen de nu beschikbare gestelde update te installeren. Workarounds zijn niet beschikbaar.
Slecht programmeerwerk. Alk ik code compileer kan dat voor een testversie of een deploymentversie zijn. Bij het opzetten van je project zorg je er al voor dat dergelijke tijdelijke accounts alleen in de deployment versie meegecompileerd worden. Dan kun je later ook niet vergeten deze te deactiveren bij een release.
(2010) https://www.networkworld.com/article/2229760/cisco-backdoor-still-open.html
(2013) https://community.cisco.com/t5/other-security-subjects/backdoor-in-cisco-routers-and-firewalls/td-p/2369806
(2014) https://www.infoworld.com/article/2608141/snowden--the-nsa-planted-backdoors-in-cisco-products.html
(2018) https://tech.slashdot.org/story/18/07/21/2133202/a-fifth-undocumented-cisco-backdoor-has-been-discovered
(2018) https://www.zdnet.com/article/cisco-removed-its-seventh-backdoor-account-this-year-and-thats-a-good-thing/
(2023) https://www.bleepingcomputer.com/news/security/cisco-fixes-bug-allowing-backdoor-persistence-between-reboots/
Slecht programmeerwerk. Alk ik code compileer kan dat voor een testversie of een deploymentversie zijn. Bij het opzetten van je project zorg je er al voor dat dergelijke tijdelijke accounts alleen in de deployment versie meegecompileerd worden. Dan kun je later ook niet vergeten deze te deactiveren bij een release.
Naïef! Die wachtwoorden staan er met een reden in, deze is alleen ontdekt en dus wordt er een verhaaltje gepubliceerd.
Slecht programmeerwerk. Alk ik code compileer kan dat voor een testversie of een deploymentversie zijn. Bij het opzetten van je project zorg je er al voor dat dergelijke tijdelijke accounts alleen in de deployment versie meegecompileerd worden. Dan kun je later ook niet vergeten deze te deactiveren bij een release.
Naïef! Die wachtwoorden staan er met een reden in, deze is alleen ontdekt en dus wordt er een verhaaltje gepubliceerd.
Jullie onderschatten constant hoe incompetent de meeste ICT'ers eigenlijk zijn.
Fantastische lijst!!!
Lang geleden werkte ik bij een bedrijf dat nauwe banden had met Cisco. Een collega van mij kreeg van Cisco de credentials van de backdoor user om een router (van een klant) onder controle te krijgen die hijacked was...
Slecht programmeerwerk. Alk ik code compileer kan dat voor een testversie of een deploymentversie zijn. Bij het opzetten van je project zorg je er al voor dat dergelijke tijdelijke accounts alleen in de deployment versie meegecompileerd worden. Dan kun je later ook niet vergeten deze te deactiveren bij een release.
Naïef! Die wachtwoorden staan er met een reden in, deze is alleen ontdekt en dus wordt er een verhaaltje gepubliceerd.
Kan iemand mij uitleggen waarom het een goed idee is om wachtwoorden waarbij je root access kan krijgen hardcoded op te slaan? Waarom is het naïef om te zeggen dat dat niet hoort. Dit soort goedpraterij zie ik vaker op deze website voorkomen maar nooit met argumenten waarom dat nou eigenlijk zo is.
Het lijk mij namelijk dus helemaal geen goed idee. 'deze is alleen ontdenkt' is dat een argument? Security through obscurity is geen security. Ik vind dit dus helemaal nergens op slaan. Maar leg vooral uit aan de naïeve en door iemand anders 'incompetente' ICTers hier. Knettergek.
Slecht programmeerwerk. Alk ik code compileer kan dat voor een testversie of een deploymentversie zijn. Bij het opzetten van je project zorg je er al voor dat dergelijke tijdelijke accounts alleen in de deployment versie meegecompileerd worden. Dan kun je later ook niet vergeten deze te deactiveren bij een release.
Naïef! Die wachtwoorden staan er met een reden in, deze is alleen ontdekt en dus wordt er een verhaaltje gepubliceerd.
Kan iemand mij uitleggen waarom het een goed idee is om wachtwoorden waarbij je root access kan krijgen hardcoded op te slaan? Waarom is het naïef om te zeggen dat dat niet hoort. Dit soort goedpraterij zie ik vaker op deze website voorkomen maar nooit met argumenten waarom dat nou eigenlijk zo is.
Het lijk mij namelijk dus helemaal geen goed idee. 'deze is alleen ontdenkt' is dat een argument? Security through obscurity is geen security. Ik vind dit dus helemaal nergens op slaan. Maar leg vooral uit aan de naïeve en door iemand anders 'incompetente' ICTers hier. Knettergek.
De incompetentie zit hem in de ICT'ers die continue shortcuts nemen, vaak om "even iets te testen" en vervolgens vergeten dat de test er nog in zit. Zo kom ik regelmatig hardcoded zaken tegen die niet thuishoren in de code, of security engineers die firewalls volledig open zetten om even iets te testen, en dan weer vergeten deze dicht te zetten. Etc. etc. etc. De voorbeelden zijn eindeloos. Dus wat mij betreft zijn deze "backdoors" vaker gewoon incompetentie ipv opzet door "de overheid".
Slecht programmeerwerk. Alk ik code compileer kan dat voor een testversie of een deploymentversie zijn. Bij het opzetten van je project zorg je er al voor dat dergelijke tijdelijke accounts alleen in de deployment versie meegecompileerd worden. Dan kun je later ook niet vergeten deze te deactiveren bij een release.
Naïef! Die wachtwoorden staan er met een reden in, deze is alleen ontdekt en dus wordt er een verhaaltje gepubliceerd.
Kan iemand mij uitleggen waarom het een goed idee is om wachtwoorden waarbij je root access kan krijgen hardcoded op te slaan? Waarom is het naïef om te zeggen dat dat niet hoort. Dit soort goedpraterij zie ik vaker op deze website voorkomen maar nooit met argumenten waarom dat nou eigenlijk zo is.
Het lijk mij namelijk dus helemaal geen goed idee. 'deze is alleen ontdenkt' is dat een argument? Security through obscurity is geen security. Ik vind dit dus helemaal nergens op slaan. Maar leg vooral uit aan de naïeve en door iemand anders 'incompetente' ICTers hier. Knettergek.
Er wordt mee bedoeld dat Cisco die backdoor er doelbewust in heeft gestopt, veelal ingegeven door de inlichtingendiensten van de VS. Dat is de reden, en daarom is het naïef om te denken dat dit een ongeluk is. Althans, zo gaat de redenering.
Het is bekend dat Cisco eerder met de NSA heeft samengewerkt en backdoors aan haar producten heeft toegevoegd, dus het zou zeker niet de eerste keer zijn.
En het zou ook naïef zijn om te denken dat de NSA daarmee is gestopt doordat Snowden dit aan het licht heeft gebracht. De oorlog op internet is sinds "Snowden" alleen maar intensiever geworden, niet minder.
Ga er daarom ook maar vanuit dat b.v. Chinese spullenboel standaard een of meerdere backdoors heeft, ook gezien de doelen die China heeft geuit omtrent haar rol op het wereldtoneel.
Slecht programmeerwerk. Alk ik code compileer kan dat voor een testversie of een deploymentversie zijn. Bij het opzetten van je project zorg je er al voor dat dergelijke tijdelijke accounts alleen in de deployment versie meegecompileerd worden. Dan kun je later ook niet vergeten deze te deactiveren bij een release.
Naïef! Die wachtwoorden staan er met een reden in, deze is alleen ontdekt en dus wordt er een verhaaltje gepubliceerd.
Kan iemand mij uitleggen waarom het een goed idee is om wachtwoorden waarbij je root access kan krijgen hardcoded op te slaan? Waarom is het naïef om te zeggen dat dat niet hoort. Dit soort goedpraterij zie ik vaker op deze website voorkomen maar nooit met argumenten waarom dat nou eigenlijk zo is.
Het lijk mij namelijk dus helemaal geen goed idee. 'deze is alleen ontdenkt' is dat een argument? Security through obscurity is geen security. Ik vind dit dus helemaal nergens op slaan. Maar leg vooral uit aan de naïeve en door iemand anders 'incompetente' ICTers hier. Knettergek.
Het naïf gaat over dat het een fout zou zijn. Anoniem 16:37 gaat er blijkbaar vanuit dat dit bij CISCO met opzet gebeurd. Zie ook Anoniem 14:57 en 15:16.
Je bent niet ingelogd en reageert "Anoniem". Dit betekent dat Security.NL geen accountgegevens (e-mailadres en alias) opslaat voor deze reactie. Je reactie wordt niet direct geplaatst maar eerst gemodereerd. Als je nog geen account hebt kun je hier direct een account aanmaken. Wanneer je Anoniem reageert moet je altijd een captchacode opgeven.
Ketenregisseur Gedigitaliseerde Criminaliteit en Cybercrime
Ben jij er klaar voor om de leiding te nemen in het bevorderen van de regionale samen-werking in de strijd tegen gedigitaliseerde criminaliteit en cybercrime? Samen met collega's, politie en regionale en landelijke partners? Dan is de dynamische rol van Ketenregisseur Gedigitaliseerde Criminaliteit en Cybercrime bij het Regionaal Samenwerkingsverband Integrale Veiligheid (RSIV) jouw op het lijf geschreven!
Digital Designer
Ben jij een Grafisch vormgever, UI-designer, Game-artist of gewoon een ‘self-proclaimed creative genius’, die op zoek is naar een leuke en uitdagende baan waarin je al je creativiteit kwijt kan?Je werkt samen met onze developers en UI/UX-designer aan onze Gamified Cybersecurity Challenges welke jij voorziet van de mooiste designs.
Cyber Security Trainer
"You know that feeling after you have been to the cinema and seen an exciting movie? It's the same after this training. I can only say that this is probably the BEST TRAINING that I've ever done!!!”
Are you ready for a challenge?
Senior Full Stack Developer
Als full stack developer bij Certified Secure maak je de mooiste cybersecurity challenges die onze deelnemers wereldwijd uitdagen en inspireren. Alle challenges zijn gebaseerd op actuele kwetsbaarheden, je komt dus telkens nieuwe technieken tegen, van machine learning tot web assembly, van Swift UI tot GCP.