Kritikus Cisco SD-WAN hiba és a KeyDrift kártevő: amikor a telephelyek közti titkosítás kulcsait lopják el

Mi történt

A Cisco Talos október 28-án publikálta a KeyDrift nevű kártevő elemzését, amely egy kritikus, 10,0 CVSS pontszámú Cisco SD-WAN hibát (CVE-2026-20127) használ ki. A hiba hitelesítés nélküli távoli támadónak teszi lehetővé, hogy jogosultság-megkerüléssel magas szintű hozzáférést szerezzen az SD-WAN vezérlőrendszereken: a Catalyst SD-WAN Controller-en (korábbi neve vSmart), a Manager-en (vManage) és a Validator-on (vBond). A hibát a Cisco februárban hozta nyilvánosságra, a kihasználást a Talos legalább 2023-ig visszamenőleg dokumentálta.

A támadás menete

A Talos szerint a kártevő elsősorban módosított szolgáltatás-szkriptekkel (runit) tartja fenn a hozzáférést, és a rendszer saját folyamataiba (vdaemon) injektál egy memóriában futó modult (PolyFlame), amely backdoorként vagy relayként működik, és az SD-WAN vezérlőforgalomban kap parancsokat.

A kártevő másik eleme, a LittleFilch, a Controller-en belekapaszkodik a vdaemon folyamatba, kiolvassa a dekódolt vezérlőüzeneteket, és kinyeri belőlük a routerek IP-címeit, valamint egy 32 bájtos mezőt, amit a Talos AES-256 kulcsmaterálnak azonosít, amit a routerek egymás közt cserélnek. Ezt az adatot a kártevő RSA-val titkosítva egy fájlba menti, majd UDP-n elküldi egy, a saját beállítófájljából kiolvasott címre, amit utána töröl.

Miért érint ez téged, ha SD-WAN-t használsz

Ez nem egy átlagos sérülékenység. A hiba nem adatlopást tesz lehetővé, hanem a telephelyek közötti titkosított forgalom alapját, a kulcscserét célozza. Ha egy támadó megszerzi ezeket a kulcsokat, elméletileg visszafejthet korábban rögzített, titkosított forgalmat a telephelyeid között, miközben a VPN vagy az SD-WAN tunnel önmagában teljesen megbízhatónak tűnik.

A Talos a kártevő mögött álló csoportot (UAT-11473) elsősorban űripari, védelmi és szakpolitikai kutatási célpontok ellen látta aktívnak, és az infrastruktúra jelentős átfedést mutat egy olyan hálózattal, amelyet a Lumen Black Lotus Labs a kínai állami támogatású Volt Typhoon csoporthoz köt. Ettől függetlenül a hiba maga minden érintett Cisco SD-WAN rendszert veszélyezteti, nem csak a kiemelt célpontokat: a Lumen külön is jelentette, hogy a Volt Typhoon már 2025 végén kihasználta ezt a hibát, és a nyilvánosságra hozás után is folytatta.

A legtöbb kkv-nak nincs saját SD-WAN controllere, de ha a telephelyeid közti kapcsolatot egy szolgáltató vagy rendszerintegrátor Cisco SD-WAN megoldással üzemelteti, ez rád is vonatkozik, csak nem te vagy az, aki a patch-elést elvégzi.

Mit kell tenni

1. Frissítsd az érintett komponenseket

Nincs kerülő megoldás, csak a frissítés old meg mindent. Az első javított verziók kiadási áganként:

A 20.9 előtti, valamint a 20.11, 20.13, 20.14 és 20.16 ágak már elérték a támogatás végét.

2. Amíg nem frissítesz, zárd le a menedzsmentportokat

A Cisco szerint a 22 (SSH) és 830 portok korlátozása az ismert controller- és rendszer-IP-címekre tesztben hatásos volt, de ezt saját hálózaton is érdemes ellenőrizni. Ez a lépés nem távolítja el a már esetlegesen telepített kártevőt, csak az újabb behatolást akadályozza.

3. Keress rá a kompromittálódás jeleire

• /var/log/auth.log-ban Accepted publickey for vmanage-admin bejegyzés ismeretlen IP-ről
• módosított run szkript az etc/sv/sshd/ alatt
• /etc/sv/aaamgr/ létezése Validatoron (ez egy hamis szolgáltatás)
• aaamgrd, conf_sshd, rsshd, libdssl.so, libcommon.so fájlok
• /var/tmp/vdaemon.bin és /var/tmp/vdaemon.conf

A Talos október 28-án Snort szabályokat is kiadott (KeyDrift C2: 67387-67416 Snort 2-n, illetve 7:44-7:73 Snort 3-n), a Snort 2 szabályok alapértelmezetten ki vannak kapcsolva, ezeket aktiválni kell.

4. Ha gyanú van a kompromittálódásra

Futtasd le a request admin-tech parancsot minden vezérlőkomponensen, mielőtt a Cisco TAC-hoz fordulsz. A frissítés önmagában nem garantált, hogy eltávolítja a már telepített kártevőt egy korábban kompromittálódott eszközről, ezért gyanú esetén incidensvizsgálat indokolt, nem csak patch.

Amit ebből érdemes tanulni

Ha a hálózatod kritikus elemét (SD-WAN controller, tűzfal, VPN-végpont) egy szolgáltató vagy integrátor kezeli helyetted, a frissítésért akkor is te vagy a felelős, ha a munkát nem te végzed el. Egy ilyen hírnél a legfontosabb kérdés nem az, hogy "érint-e", hanem hogy tudod-e a szolgáltatódtól, hogy patchelve van-e, és mikor.

Segítek átnézni. Az ipari hálózat hibaelhárítás és IT/OT szétválasztás, illetve egy hálózati audit pont ezt a kérdést válaszolja meg: milyen kritikus hálózati elemek vannak a telephelyeid között, ki üzemelteti őket, és mikor frissültek utoljára.

Forrás: The Hacker News (2026. október 29.), Cisco Talos (2026. október 28.), Lumen Black Lotus Labs.