[[{"content_id":474222,"content_number":0,"portal_id":184,"lang_id":"fa","content_title":"جزئیات حمله گسترده به سوییچ‌های سیسکو در ایران و جهان","content_rtitr":"","content_short_title":null,"content_summary":"","content_summary_fill":0,"content_body":"تقریبا اوایل بامداد بود که یک حمله سایبری گسترده در سراسر جهان شناسایی شد. حمله‌ای که به‌طور مستقیم سوییچ‌های شرکت سیسکو را هدف قرار داده بود در چند کشور منجمله ایران تاثیرات محسوسی بر جای گذاشت. به‌گونه‌ای که نه تنها اختلال در ارتباطات به وجود آمد بلکه چند مرکز داده نیز به شکل همزمان از دسترس خارج شدند.\r\n\r\n\r\nدر حالی که این حمله تقریبا اکثر مدیران مراکز داده و کاربرانی که به اینترنت متصل بودند را غافل‌گیر کرد و در عمل باعث شد دسترسی به  برخی از سایت‌ها امکان‌پذیر نباشد، اما شرکت امنیتی تالوس سکیوریتی چندی قبل خبر داد که آسیب‌پذیری ناشناخته‌ای را روی سوییچ‌های سیسکو شناسایی کرده است. این شرکت به سازمان‌های بزرگ اطلاع داده بود که ممکن است یک حمله سایبری بزرگ به وجود آید.\r\n\r\n\r\n\r\nاین شرکت امنیتی در تاریخ 29 مارس اعلام کرد در پوییش 8.5 میلیون دستگاهی که با پورت باز به اینترنت متصل شده‌اند مشاهده کرده است که دست کم 250 هزار سوییچ به این آسیب‌پذیری آلوده بوده و به راحتی در تیرراس هکرها قرار دارند. در همین ارتباط کارشناسان CERT اعلام داشته‌اند که بهره‌برداری از پروتکل Smart Install در زمان نصب از طریق کنسول روی سوییچ‌های سیسکو، شبیه به کاری است که چند وقت پیش هکرها برای حمله به تاسیسات هسته‌ای و انتقال انرژی در ایالات متحده از آن استفاده کردند. به نظر می‌رسد درگاه 4786 روی سوییچ‌های با مدل 2960، 4500، 3850، 3750،3560، 2975 به‌طور پیش‌فرض باز بوده و مدیران شبکه نیز از این موضوع اطلاعی نداشتند.\r\n\r\n\r\n\r\nهکرها نیز حمله خود را روی این درگاه متمرکز کرده بودند و موفق شده‌اند سوییچ‌ها را به تنظیمات اولیه کارخانه بازگرداند.\r\n\r\nعلت بروز این حمله چه بود؟\r\n\r\nپژوهشگران امنیتی Embedi یک آسیب‌پذیری حیاتی در نرم‌افزار Cisco IOS و Cisco IOS XE را کشف کرده‌اند. آسیب‌پذیری که به هکرها اجازه می‌دهد از راه دور کدهای دلخواه خود را اجرا کنند. هکرها همچنین می‌توانند کنترل کامل دستگا‌های آسیب‌پذیر شبکه و ترافیک شبکه را پس از پیاده‌سازی موفقیت‌آمیز این حمله به دست آورند.\r\n\r\n\r\n\r\nآسیب‌پذیری اجرای کد به شماره ثبت شده CVE-2018-0171\r\n\r\nآسیب‌پذیری سرریز بافر به شماره CVE-2018-0171 که باعث می‌شود فرآیند اعتبارسنجی بسته‌های داده‌ای در پروتکل Smart Install Client به شکل درستی انجام نشود عامل بروز این حمله بوده است. در نتیجه پیکربندی Plug-and-Play و ویژگی مدیریت ایمیج که به مدیران کمک می‌کند به شکل ساده‌تری سوییچ‌های شبکه را راه‌اندازی و مستقر کنند به شکل درستی اعمال نشود. شرکت Embedi جزییات فنی و همچنین نمونه کدهای مفهومی را پس از آن‌که سیسکو به‌روزرسانی مربوطه را دیروز منتشر کرد ارائه کرده است.\r\n\r\nتاثیرگذاری روی مراکز داده ایران\r\n\r\n\r\n\r\nاواخر جمعه شب نیز مراکز داده ایرانی که از این سوییچ‌ها استفاده کرده بودند، پس از این حمله از کار افتادند. تقریبا اکثر مدیران شبکه برای پیشگیری از بروز صدمات جبران‌ناپذیر مجبور شدند سوییچ‌های خود را خاموش کنند. در نهایت سوییچ‌هایی که تحت تاثیر این حمله قرار گرفته بودند از طریق نسخه پشتیبان به حالت اولیه خود بازگشتند. در همین ارتباط وزیر ارتباطات نیز در توییتی که منتشر کرد این حمله را تایید نمود. محمد جواد آذری جهرمی اعلام کرد مراکز داده کشور با یک حمله سایبری روبرو شده‌اند و تعدادی از مسیریاب‌های کوچک به تنظیمات پیش‌فرض کارخانه‌ای بازگشته‌اند. مرکز ماهر برای کمک به مراکز داده‌ای که مورد حمله قرار گرفته‌اند و همچنین برای بازگرداندن مراکز داده به حالت اولیه به آن‌ها کمک‌رسانی خواهد کرد. در حال حاضر بیش از 95 درصد از مسیریاب‌هایی که تحت تاثیر این حمله قرار گرفته‌اند به حالت اولیه خود بازگشته‌اند و همچون گذشته فرآیند مسیریابی‌ را انجام می‌دهند.\r\n\r\nچه دستگاه‌هایی آلوده هستند؟\r\n\r\nسوییچ‌های آسیب‌پذیر سیسکو به شرح زیر هستند:\r\n\r\n\r\n\tCatalyst 4500 Supervisor Engines\r\n\tCatalyst 3850 Series\r\n\tCatalyst 3750 Series\r\n\tCatalyst 3650 Series\r\n\tCatalyst 3560 Series\r\n\tCatalyst 2960 Series\r\n\tCatalyst 2975 Series\r\n\tIE 2000\r\n\tIE 3000\r\n\tIE 3010\r\n\tIE 4000\r\n\tIE 4010\r\n\tIE 5000\r\n\tSM-ES2 SKUs\r\n\tSM-ES3 SKUs\r\n\tNME-16ES-1G-P\r\n\tSM-X-ES3 SKUs\r\n\r\n\r\nاگر از هر یک از سوییچ‌هایی که به آن‌ها اشاره شد استفاده می‌کنید باید به‌روزرسانی مربوطه را در اسرع وقت نصب کنید. سیسکو در تاریخ 29 مارس در قالب یک مشاوره نامه امنیتی شیوه به‌روزرسانی را منتشر کرده است. برای اطلاعات بیشتر به آدرس Cisco IOS and IOS XE Software Smart Install Remote Code Execution Vulnerability مراجعه کنید.","content_html":"