Remote Root en plataformas Cisco

En el marco de la conferencia de seguridad ekoparty que estamos cubriendo en Argentina, Juliano Rizzo, como ya lo hab铆a realizado en ediciones anteriores, deleit贸 a los espectadores que se quedaron hasta el final de una larga jornada de charlas de alta calidad t茅cnica. Su ponencia no estaba publicada en el cronograma, quiz谩s porque incluy贸 la exposici贸n de un nuevo 0-day, o quiz谩s porque realmente fue descubierto en las 煤ltimas horas.

Lo cierto es que, una vez m谩s, Juliano se llev贸 la ovaci贸n de toda la sala.

Juliano_Rizzo

驴Qu茅 es Remote Root?

Remote root, o el hecho de ser root de forma remota, sin lugar a dudas, es el objetivo de todo proceso de pentesting. En su exposici贸n, Juliano聽 demostr贸 c贸mo mediante la explotaci贸n de una antigua t茅cnica como es el SSRF (Server Side Request Forgery) pudo tomar el control del servidor, a partir de la modificaci贸n de algunas peticiones en Cisco Finesse. Este es un agente y supervisor de escritoriodise帽ado para mejorar la experiencia de atenci贸n al cliente.

Mediante un ataque聽SSRF聽a un equipo vulnerable se puede reenviar peticiones maliciosas a la red interna, y esta t茅cnica es muchas veces utilizada para sortear firewalls y sistemas IDS. En este caso, se utiliz贸 como proxy pudiendo acceder a intranet, DMZ o en este caso a LocalHost, es decir, al servidor local, pero como si estuviera dentro de la red.

驴En d贸nde es com煤n observarlo?

Juliano habl贸 acerca de la seguridad en algunos servicios que venden 鈥渆nlatados鈥 de servidores preconfigurados, en donde muchas veces, para que todo funcione de forma correcta, corren aplicaciones con privilegios y permisos de root.

No es este el 煤nico problema, sino que tambi茅n en muchos casos vienen con servicios con claves por defecto, demasiados puertos abiertos, sin configuraci贸n de firewalls, los m贸dulos no se encuentran actualizados y en ocasiones tambi茅n se utilizan herramientas de terceros 鈥 pero hay veces en las que los desarrolladores no saben realmente de qu茅 manera trabajan a pesar de que las utilizan.

La demostraci贸n

Como podemos ver en la siguiente imagen, la plataforma de Cisco Finesse fue la elegida para probar estas vulnerabilidades o bugs.

Cisco_Finesse_vuln

Utilizando una aplicaci贸n proxy como Burp, se demostr贸 de qu茅 forma se pod铆a modificar las peticiones, remplazando cookies e interactuando con diversos servicios instalados con configuraciones por defecto. As铆, finalmente, se sube una Shell con el fin de tomar el control como root en el servidor en cuesti贸n.

Juliano_Rizzo2Uno de los principales falsos mitos en seguridad inform谩tica es que en la actualidad los servidores ya no tienen grandes vulnerabilidades, y que para que un atacante logre su objetivo, el 煤nico camino es explotar el vector m谩s d茅bil 鈥 que en este caso ser铆an los usuarios finales.

Claramente, esta presentaci贸n dejo en jaque este mito, haciendo repensar o reflexionar a los administradores de seguridad inform谩tica acerca de los productos de una marca confiable que tambi茅n pueden tener grandes fallas en la seguridad de sus aplicaciones y servicios.

Dejando a la luz contrase帽as por defecto y/o permisos de root a cualquier aplicaci贸n, se expone toda la intranet y DMZ de una empresa, evadiendo los controles de firewalls e IDS.

鈥淟os exploits de remote root son todav铆a posibles. Una vulnerabilidad simple y com煤n puede ser el primer paso para comprometer por completo la red鈥, anunciaba Juliano en relaci贸n a su presentaci贸n. Y al parecer, se trata de un problema subestimado que hay que considerar.

Cr茅ditos imagen: Kent Landerholm/Flickr

Share

This entry was posted in conferencias, contrase帽a, IDS, routers, seguridad, wargame, webs. Bookmark the permalink.

Deja una respuesta

Tu direcci贸n de correo electr贸nico no ser谩 publicada. Los campos obligatorios est谩n marcados con *

Este sitio usa Akismet para reducir el spam. Aprende c贸mo se procesan los datos de tus comentarios.