پژوهش‌گران یک آسیب‌پذیری بحرانی در محصولات سیسکو کشف کرده‌اند که به مهاجمان اجازه می‌دهد تا درب‌پشتی ماندگاری را در طیف گسترده‌ای از دستگاه‌های مورد استفاده در شبکه‌های سازمان‌ها و دولت ازجمله مسریاب‌ها و سوئیچ‌ها و دیوار آتش توزیع کنند.
این آسیب‌پذیری که توسط پژوهش‌گران شرکت امنیتی Red Balloon کشف شده است، Thrangrycat نام دارد و با شناسه‌ی CVE-2019-1649 شناسایی می‌شود، محصولات مختلف سیسکو را که از ماژول Trust Anchor پشتیبانی می‌کنند، تحت تأثیر قرار می‌دهد. ماژول Trust Anchor یک قابلیت راه‌اندازی امن مبتنی‌بر سخت‌افزار است که از سال ۲۰۱۳ میلادی تقریباً در همه‌ی دستگاه‌های سازمانی سیسکو پیاده‌سازی شده است و اطمینان حاصل می‌کند که ثابت‌افزار درحال اجرا در بسترهای سخت‌افزاری، معتبر و بدون تغییر است.
بااین‌حال، پژوهش‌گران مجموعه‌ای از آسیب‌پذیری‌های طراحی سخت‌افزار را کشف کرده‌اند که به یک مهاجم احراز هویت‌نشده اجازه می‌دهد تا تغییرات ماندگار را از طریق اصلاحات FPGA bitstream و بارگذاری Boot Loader مخرب در ماژول Trust Anchor ایجاد کند.
پژوهش‌گران بیان کردند که یک مهاجم با امتیازات روت می‌تواند محتوای FPGA anchor bitstream را که در حافظه‌ی فلش بدون محافظت ذخیره شده است، تغییر دهد. عناصر این bitstream ممکن است تغییر پیدا کند تا قابلیت مهم ماژول Trust Anchor را غیرفعال کند. تغییر موفقیت‌آمیز bitstream ماندگار است و Trust Anchor در دنباله‌ی راه‌اندازی بعدی غیرفعال خواهد شد. همچنین ممکن است هر به‌روزرسانی نرم‌افزاری برای bitstream ماژول Trust Anchor غیرفعال شود.
از آن‌جا که بهره‌برداری از این آسیب‌پذیری به امتیازات ریشه نیاز دارد، مشاوره‌نامه‌ی منتشرشده توسط سیسکو بیان می‌کند که تنها یک مهاجم محلی با دسترسی فیزیکی به سیستم هدف می‌تواند یک ایمیج ثابت‌افزار اصلاح‌شده را در این مؤلفه بنویسد. بااین‌حال، پژوهش‌گران Red Balloon تشریح کردند که مهاجمان می‌توانند از آسیب‌پذیری Thrangrycat به‌صورت از راه دور و با ارتباط دادن آن با سایر آسیب‌پذیری‌ها که امکان دست‌یابی به دسترسی ریشه را به آن‌ها می‌دهد، بهره‌برداری کنند.
برای نشان دادن این حمله، پژوهش‌گران یک آسیب‌پذیری اجرای کد از راه دور (CVE-2019-1862) را در رابط کاربر مبتنی‌بر وب سیستم عامل IOS سیسکو افشا کردند که به یک مدیر واردشده به سیستم اجازه می‌دهد تا دستورات دلخواه را به‌صورت از راه دور و با امتیازات روت در شِل لینوکس یک دستگاه آسیب‌دیده اجرا کند. پس از دست‌یابی به دسترسی ریشه، مدیر غیرمجاز می‌تواند به‌صورت از راه دور و بااستفاده از آسیب‌پذیری Thrangrycat و نصب یک درب‌پشتی مخرب، ماژول Trust Anchor را در دستگاه هدف دور بزند.
پژوهش‌گران بیان کردند که با ارتباط دادن Thrangrycat و آسیب‌پذیری‌های تزریق دستور از راه دور، یک مهاجم می‌تواند از راه دور و به‌طور مداوم مکانیسم راه‌اندازی امن سیسکو را دور بزند و همه‌ی به‌روزرسانی‌های نرم‌افزاری را در Trust Anchor غیرفعال کند. از آن‌جا که این آسیب‌پذیری‌ها در طراحی سخت‌افزار وجود دارند، بعید است که هیچ وصله‌ی امنیتی نرم‌افزاری بتواند آسیب‌پذیری امنیتی اصلی را به‌طور کامل رفع کند.
شرکت امنیتی Red Balloon در ماه نوامبر سال ۲۰۱۸ میلادی این مسائل را به سیسکو گزارش داد و پس از آن‌که سیسکو وصله‌های ثابت‌افزاری برای رفع هر دو آسیب‌پذیری‌ها ارائه داد، تنها برخی از جزئیات آن‌ها را به‌صورت عمومی منتشر کرد و همه‌ی محولات آسیب‌دیده را فهرست کرد. سیسکو نیز بیان کرد که حمله‌ای را شناسایی نکرده است که از این دو آسیب‌پذیری بهره‌برداری کرده باشد.
