Cisco Adaptive Security Appliance (ASA) CLI Remote Code Execution Vulnerability — A vulnerability in the command-line interface (CLI) parser of Cisco ASA software could allow an authenticated, local attacker to create a denial-of-service (DoS) condition or potentially execute code.
CVE-2016-6367 is a critical vulnerability in the Cisco Adaptive Security Appliance (ASA) CLI parser that allows an authenticated, local attacker to execute arbitrary code or cause a denial-of-service condition. This vulnerability has a CVSS score of 9.0 and known exploits are publicly available, including its association with the 'EPICBANANA' exploit linked to the Shadow Brokers/Equation Group leak. Given the widespread deployment of Cisco ASA firewalls across Saudi critical infrastructure, this vulnerability poses significant risk to organizations that have not applied patches. Immediate patching is essential as exploit code is readily available in the wild.
IMMEDIATE ACTIONS:
1. Identify all Cisco ASA devices in your environment and verify current software versions
2. Apply Cisco security advisory cisco-sa-20160817-asa-cli patches immediately
3. Restrict CLI access to only authorized administrators using AAA controls
4. Implement strict access control lists (ACLs) limiting management access to trusted IP addresses only
5. Enable command authorization to limit CLI commands available to each user
COMPENSATING CONTROLS:
- Enforce multi-factor authentication for all ASA management access
- Disable SSH/Telnet access from untrusted networks
- Monitor for unusual CLI commands and login attempts via syslog
- Implement out-of-band management networks for all firewall administration
DETECTION:
- Monitor ASA syslog for unusual CLI command patterns (message IDs 111008, 111009)
- Alert on repeated authentication failures followed by successful logins
- Deploy SIEM rules to detect privilege escalation attempts on network devices
- Review ASA crash logs for signs of exploitation attempts
الإجراءات الفورية:
1. تحديد جميع أجهزة Cisco ASA في بيئتك والتحقق من إصدارات البرامج الحالية
2. تطبيق تصحيحات Cisco الأمنية cisco-sa-20160817-asa-cli فوراً
3. تقييد الوصول إلى واجهة سطر الأوامر للمسؤولين المصرح لهم فقط باستخدام ضوابط AAA
4. تنفيذ قوائم التحكم في الوصول (ACLs) لتقييد الوصول الإداري للعناوين الموثوقة فقط
5. تفعيل تفويض الأوامر للحد من أوامر CLI المتاحة لكل مستخدم
الضوابط التعويضية:
- فرض المصادقة متعددة العوامل لجميع عمليات الوصول الإداري لـ ASA
- تعطيل وصول SSH/Telnet من الشبكات غير الموثوقة
- مراقبة أوامر CLI غير المعتادة ومحاولات تسجيل الدخول عبر syslog
- تنفيذ شبكات إدارة منفصلة لجميع عمليات إدارة جدران الحماية
الكشف:
- مراقبة سجلات ASA للأنماط غير المعتادة لأوامر CLI
- التنبيه على محاولات المصادقة الفاشلة المتكررة متبوعة بتسجيل دخول ناجح
- نشر قواعد SIEM للكشف عن محاولات تصعيد الامتيازات على أجهزة الشبكة
- مراجعة سجلات أعطال ASA بحثاً عن علامات محاولات الاستغلال