Forscher bringen Cisco-SD-WAN-Einbruch mit nicht autorisiertem Peering vor der öffentlichen Offenlegung in Verbindung

Sicherheitsforscher zufolge könnten Angreifer nicht autorisiertes Peering genutzt haben, um die Cisco-SD-WAN-Umgebung eines Opfers zu erreichen und ihre Berechtigungen bis auf Administrator- und Root-Ebene auszuweiten. Die Erkenntnisse deuten darauf hin, dass der Einbruch möglicherweise vor der öffentlichen Offenlegung der zugrunde liegenden Schwachstelle erfolgte.

Den Forschern zufolge bestand die Technik darin, eine nicht autorisierte Verbindung herzustellen, die es dem Bedrohungsakteur ermöglichte, mit der SD-WAN-Infrastruktur zu interagieren, als wäre sie Teil eines vertrauenswürdigen Netzwerkpfads. Von dort aus erlangte der Angreifer Berichten zufolge erweiterte Zugriffsrechte, die eine umfassendere Kontrolle über die betroffenen Geräte ermöglicht haben könnten.

SD-WAN-Plattformen werden häufig eingesetzt, um das Verkehrsmanagement in verteilten Netzwerken zu zentralisieren. Dadurch sind sie attraktive Ziele für Angreifer, die eine weitreichende Zugriffsmöglichkeit suchen. Wenn ein Angreifer diese Ebene kompromittieren kann, ist er möglicherweise in der Lage, Datenverkehr zu überwachen, Konfigurationen zu ändern oder tiefer in die Umgebung eines Unternehmens vorzudringen.

Was die Ermittler vermutlich herausgefunden haben

• Den Angaben zufolge wurde nicht autorisiertes Peering genutzt, um eine Verbindung zur Zielumgebung herzustellen.
• Dieser Zugriff scheint gegen Cisco-SD-WAN-Geräte eingesetzt worden zu sein.
• Es wird angenommen, dass die Angreifer administrative Berechtigungen und in einigen Fällen Kontrolle auf Root-Ebene erlangten.

Die gemeldeten Aktivitäten verdeutlichen die Risiken, die entstehen, wenn Netzwerkinfrastrukturen ausgeklügelten Zugriffmanipulationen ausgesetzt sind – insbesondere dann, wenn Sicherheitsprobleme noch nicht öffentlich bekannt sind. Zudem unterstreichen sie, wie wichtig es ist, ungewöhnliche Peering-Beziehungen zu überwachen, Zugriffskontrollen zu verschärfen und Geräteprotokolle auf unerwartete Berechtigungsänderungen zu prüfen.

Organisationen, die SD-WAN-Produkte einsetzen, wird in der Regel empfohlen, Firmware und Software aktuell zu halten, Managementschnittstellen zu beschränken, eine starke Authentifizierung durchzusetzen und Netzwerkpfade auf Anomalien zu untersuchen. Auch wenn das volle Ausmaß des Vorfalls noch nicht bekannt gegeben wurde, reiht sich der Fall in die wachsende Zahl von Angriffen auf Edge- und Infrastrukturtechnologien ein, die im Zentrum der Unternehmensvernetzung stehen.