泄露的cisco asa漏洞利用可以应用到新的cisco版本上-k8凯发天生赢家

2016年8月15日，一个名为“shadow brokers”（影子经纪人）的黑客组织声称自己入侵了跟nsa相关的equation group（方程式组织）的计算机系统，并成功窃取到了大量的机密信息以及黑客工具。随后，“shadow brokers”黑客组织将大部分泄漏文件（60%）公布在了网上，其中就包含有针对多款网络设备的漏洞利用代码。关于该事件的具体报道请参阅http://bobao.360.cn/news/detail/3464.html

shadow brokers已经释放了大约300 mb的防火墙漏洞利用、植入和工具代码。安全公司和著名的告密者爱德华·斯诺登泄露的文件显示这些代码是真实的,但专家指出,最近的文件可以追溯到2013年。

这些漏洞利用、植入和工具代码专门针对cisco, fortinet, watchguard, juniper networks和其他供应商的产品。这些公司都已经对泄漏的代码进行了分析,但到目前为止，只有思科发现了一个之前未发现的漏洞(cve-2016-6366)。

这个漏洞能够影响思科自适应安全设备(asa)软件的简单网络管理协议(snmp)代码,拥有目标系统访问权限的远程攻击者可以利用这个漏洞执行任意代码，并获得设备的完全控制权。思科尚未发布一个安全漏洞的补丁,但它提供了一些解决方法。

泄露的cve-2016-6366漏洞的利用代码,被称为“extrabacon”,已经有几年历史了，所以只能在旧版本的asa上正常工作。思科公司的安全专家表示已经修复了这个漏洞，并且表示只要用户运行的是最新版本的思科软件，那么他们就不会受到“shadow brokers”事件的影响。

然而, 研究人员近日证明了泄露的思科asa漏洞利用也可以在新版本的软件上进行远程代码执行。

匈牙利安全公司silent signal的研究人员设法修改了泄露的asa漏洞利用代码，并将其应用到了版本asa 9.2(4)上,该版本于2015年7月发布。

此外, it安全专家兼silent signal的联合创始人balint varga-perke告诉securityweek，泄露的漏洞利用代码甚至可以应用到更新的版本上。安全公司正在为目前不支持的思科asa版本自动生成利用代码。修改asa漏洞利用代码并将其应用到版本asa 9.2(4)只花费了silent signal研究人员几个小时。

“不幸的是,一些人只有在看到实际的演示之后才会认识到漏洞的风险,”varga-perke在一封电子邮件中说到。“我们希望我们的开发也能够让那些持怀疑论的人们认识到这些风险。”

根据思科针对cve-2016-6366做出的安全公告,该漏洞影响所有asa的软件版本和所有支持snmp的版本。当供应商在一个运行版本9.4(1)的思科asa 5506设备上测试泄露的漏洞利用代码时,软件崩溃了。

思科产品安全事件响应团队的omar santos也证实,漏洞利用代码经过修改可以应用到任何asa代码上。

目前还不清楚shadow brokers的幕后推手是谁。虽然有怀疑是俄罗斯黑客所为,但也有人认为是一个国家安全局（nsa）内部人员所为。 

真相到底是什么？也许只能交给时间来回答了，但是希望思科能够尽快解决这个漏洞，保障用户的安全。

参考链接

斯诺登文件显示国家安全局（nsa）泄漏是真实存在的

http://www.securityweek.com/snowden-documents-show-nsa-leak-real-report

防火墙厂商分析“shadow brokers”泄露的漏洞利用代码

http://www.securityweek.com/firewall-vendors-analyze-exploits-leaked-shadow-brokers

谁是shadow brokers泄漏的幕后真凶？

http://www.securityweek.com/juniper-confirms-leaked-implants-target-its-products

原文链接：http://www.securityweek.com/leaked-cisco-asa-exploit-adapted-newer-versions