SANS ISC sieht Scans gegen Cisco IOS XE mit den Headern Opt-Out-Email und Opt-Out-Url
Victoria Shinder1 Min. LesezeitJohannes Ullrich vom SANS Internet Storm Center berichtete am 5. November über einen Angriffsversuch auf Cisco IOS, den er in den Honeypot-Daten des ISC fand. Der Versuch selbst sei nichts Neues; er vermutet, dass er auf CVE-2023-20198 zielt, die Lücke in der Weboberfläche von IOS XE.
Die Anfrage ist ein POST an den Pfad des Web Services Management Agent, wobei das w von webui als %77 kodiert ist, und enthält einen SOAP-Umschlag mit dem Benutzernamen admin und maskiertem Passwort. Der Befehl im Element execCLI lautet uname -a. Ullrich merkt an, dass der kodierte Buchstabe Web Application Firewalls umgehen könnte, die nur den Klartextpfad prüfen.
Auffällig fand er zwei Header: Opt-Out-Email und Opt-Out-Url, die auf den Anbieter RootEvidence verweisen, eine Plattform für Exposure- und Schwachstellenmanagement, dazu der User-Agent RootEvidence/1.0. Er schreibt, er habe keinen Standard gefunden, der solche Header vorsieht, und sie zum ersten Mal bemerkt, obwohl der Anbieter sie seit Dezember letzten Jahres nutzt.
Was das bedeutet
Ein Scanner, der sich zu erkennen gibt und ein Opt-out anbietet, lässt sich leichter filtern als einer, der sich versteckt, doch die Anfrage bleibt ein Angriffsversuch auf eine Administrationsoberfläche. Der praktische Rat ist seit 2023 derselbe: Die Weboberfläche von IOS XE gehört nicht ins Internet.