Investigadores han descubierto una grave vulnerabilidad en los productos de Cisco que podría permitir a los atacantes implantar puertas traseras persistentes en dispositivos de amplio rango utilizados en empresas y redes gubernamentales, incluidos enrutadores, conmutadores y cortafuegos.

La falla fue apodada como Thrangrycat o ???,  y fue descubierta por investigadores de la empresa de seguridad Red Balloon e identificada como CVE-2019-1649, la cual afecta a varios productos de Cisco que admiten el módulo Trust Anchor (TAm).

El módulo Trust Anchor (TAm) es una funcionalidad de inicio seguro basada en hardware implementada en casi todos los dispositivos empresariales de Cisco desde 2013 que garantiza que el firmware que se ejecuta en las plataformas de hardware sea auténtico y no haya sido modificado.

Sin embargo, los investigadores encontraron una serie de fallas en el diseño del hardware que podrían permitir que un atacante autenticado realice la modificación persistente del módulo Trust Anchor mediante la modificación del flujo de bits FPGA y cargue el cargador de arranque malicioso.

Dado que la explotación de la vulnerabilidad requiere privilegios de root, un aviso publicado por Cisco destacó que solo un atacante local con acceso físico al sistema de destino podría escribir una imagen de firmware modificada en el componente.

Sin embargo, los investigadores de Red Balloon explicaron que los atacantes también podrían explotar la vulnerabilidad de Thrangrycat de forma remota encadenándola con otras fallas que podrían permitirles obtener acceso de root o, al menos, ejecutar comandos como root.

Para demostrar este ataque, los investigadores revelaron una vulnerabilidad de RCE (CVE-2019-1862) en la interfaz de usuario basada en la web del sistema operativo IOS de Cisco que permite a un administrador registrado ejecutar comandos arbitrarios en el shell de Linux subyacente de un dispositivo afectado Con privilegios de root.

Después de obtener acceso a root, el administrador malintencionado puede omitir de forma remota el módulo Trust Anchor (TAm) en un dispositivo específico utilizando la vulnerabilidad de Thrangrycat e instalar una puerta trasera maliciosa.

Mientras los investigadores probaron las vulnerabilidades contra los enrutadores Cisco ASR 1001-X, cientos de millones de unidades de Cisco que ejecutan un TAm basado en FPGA en todo el mundo, que incluye todo desde enrutadores empresariales hasta conmutadores de red y cortafuegos, son vulnerables.

Red Balloon Security informó de forma privada los problemas a Cisco en noviembre de 2018 y solo publicó algunos detalles al público después de que Cisco emitiera los parches de firmware para solucionar ambos defectos y enumeró todos los productos afectados.

Cisco dijo que la compañía no detectó ataques que explotaran ninguna de estas dos vulnerabilidades.

Los detalles completos de las vulnerabilidades se publicarán en la conferencia de seguridad Black Hat USA de este año en agosto.