網絡安全問題日新月異，近日，網絡設備巨頭Cisco思科旗下嘅超可靠無線回程，英文簡稱 URWB，硬件就發現咗一個嚴重嘅安全漏洞，攻擊者有機會利用呢個漏洞，透過構造特定嘅 HTTP 請求，入侵接入點嘅網頁管理介面。
受到影響的設備
呢個漏洞編號為 CVE-2024-20418，據思科表示，主要影響 Catalyst IW9165D 重型接入點、Catalyst IW9165E 堅固型接入點和無線客戶端，以及 Catalyst IW9167E 重型接入點呢三款產品。
不過，思科亦都強調，只有當接入點喺 URWB 模式下運行易受攻擊嘅軟件版本時，先至會受到影響。管理員可以透過使用「show mpls-config」指令，去確認 URWB 模式有冇運行。如果呢個模式已經停用，咁設備就唔會受到影響。其他唔使用 URWB 嘅思科無線接入點產品亦都唔受影響。
至於漏洞嘅詳情，思科喺公告中就指出，呢個漏洞係由於基於網頁嘅管理介面輸入驗證唔當所造成嘅。攻擊者可以向受影響系統嘅網頁管理介面發送精心構造嘅 HTTP 請求，從而利用呢個漏洞。一旦攻擊成功，攻擊者就可以喺受影響設備嘅底層作業系統上，以最高權限，亦即係 root 權限，執行任意指令，最終導致成個系統癱瘓。
今次Cisco IoT Vulnerability分析
呢種漏洞，專業術語叫做「命令注入」，喺通用弱點枚舉，即係 CWE 數據庫中編號為 77。值得一提嘅係，早喺今年 7 月，美國網絡安全和基礎設施安全局，簡稱 CISA，就曾經警告過呢類漏洞嘅危險性。CISA 指出，當製造商喺構建要喺底層作業系統上執行嘅指令時，如果未能正確驗證同清理用戶輸入，就會出現作業系統命令注入漏洞。CISA 呼籲製造商應該採用安全設計原則，去避免呢個問題，換言之，呢類錯誤根本唔應該出現。
咁究竟邊啲人會用 URWB 接入點呢？URWB 產品線主要係一系列適用於工業或者戶外環境嘅堅固型接入點。URWB 嘅底層技術係喺 2020 年思科收購咗意大利公司 Fluidmesh Networks 之後，先至納入思科旗下嘅。URWB 模式可以令接入點喺一般難以保證穩定連接嘅環境下，都能够支援高速、可靠、低延遲嘅無線連接。
公共服務的影響面
喺 2021 年一篇關於呢項技術嘅網誌文章入面，Fluidmesh Networks 嘅聯合創辦人兼前行政總裁 Umberto Malesci 就列舉咗呢項技術嘅一些應用場景，包括喺法國運行嘅由 1000 個 IP 攝影機組成嘅列車網絡、喺馬爾他實現港口起重機嘅無線控制，以及作為支援米蘭無人駕駛地鐵列車嘅基礎設施嘅一部分等等。
Malesci 曾經指出，想像一下，喺火車、地鐵、公共交通、礦山或者港口等場景下，進行遠端監控同控制移動資產。如果你喺查看電子郵件嘅時候丟失咗幾個數據包，可能冇人會注意到。但相比之下，如果你喺遠端控制起重機或者自動駕駛車輛嘅時候丟失數據包，後果就可能不堪設想。
正因為呢啲應用場景嘅重要性，所以修補呢個漏洞就變得刻不容緩。然而，考慮到呢類接入點通常都隔離喺專用嘅物聯網網絡段上，攻擊者要直接針對呢個漏洞進行攻擊嘅難度，目前仲未知。喺呢種情況下，攻擊者可能需要喺無線網絡覆蓋範圍內，先至有機會利用呢個漏洞。
漏洞處理建議
由於呢個漏洞嘅 CVSS 評分高達 10.0，而且暫時冇其他解決方法，所以管理員需要儘快透過思科嘅更新管道，去應用軟件更新檔修復漏洞。思科表示，使用軟件版本 17.14 及更早版本嘅組織，應該更新到已修復嘅發行版；而使用 17.15 版本嘅組織，就應該更新到 17.15.1 版本。任何透過非官方管道購買 URWB 接入點嘅組織，就建議聯絡思科技術援助中心。
好消息係，思科嘅產品安全事件回應團隊，英文簡稱 PSIRT，就表示，佢哋暫時未發現有任何針對呢個漏洞嘅攻擊行為。
想了解多D我地系邊個，睇呢度啦。總之，大家都要小心啲，唔好再俾呢啲事發生！想搵個專業公司問問點樣預防好，打來21273520畀我地EGC噶靚仔叔叔招呼尊貴嘎客戶你啦。
