Критические уязвимости в Cisco IOS
Специалисты по безопасности компании Cisco Systems сообщили в конце января о двух серьезных уязвимостях, присутствующих в ОС Cisco IOS и Cisco IOS XR. Обе уязвимости позволяют удаленное использование, которое заключается в посылке адресованных устройству особым образом сформированных пакетов.
Первая уязвимость - Crafted IP Option Vulnerability - позволяет выполнить атаку типа "отказ в обслуживании" и, возможно, даже запустить произвольный код на атакуемой системе. Суть уязвимости в некорректной обработке ICMP-, PIMv2-, PGM- или URD-пакетов, содержащих некоторые специфические опции в IP-заголовке (к сожалению, подробностей про загадочные опции найти пока не удалось). Подчеркивается, что уязвима лишь реализация интернет-протокола версии 4; устройств, сконфигурированных для использования исключительно IPv6, эта беда не касается. Уязвимость присутствует во всех непропатченных версиях Cisco IOS, включая ветки 9.х, 10.x, 11.x и 12.x, а также в непропатченных Cisco IOS XR 2.0.X, 3.0.X и 3.2.X.
На сайте компании есть документ, содержащий список уязвимых версий IOS с вариантами, на что можно эти версии заменить. Также приведены рекомендации, как защитить систему до замены ОС или если такая замена невозможна. Рекомендации сводятся к отключению потенциально опасных протоколов и добавлению запрещающих записей в списки доступа (Access Control Lists, ACLs). Документ находится здесь .
Вторая уязвимость - Crafted TCP Packet Vulnerability - также связана с некорректными (специально сформированными) пакетами, но на сей раз речь идет о TCP-заголовке. Речь идет о пакетах, предназначенных для атакуемого устройства (адрес назначения должен быть назначен на один из интерфейсов устройства), стало быть транзитный трафик, содержащий такие пакеты, абсолютно безопасен.
Уязвимость заключается в том, что при обработке такого пакета происходит небольшая утечка памяти (memory leek), которая достаточно безопасна в случае с единичными пакетами, но при атаке большим количеством пакетов может привести к снижению производительности и даже отказу в обслуживании. Важно то, что для срабатывания этого механизма не требуется полного установления TCP-соединения (3-way handshake), а значит для успешного выполнения атаки подойдут и спуфленные (с подмененым адресом источника) пакеты.
Также как и в случае с первой уязвимостью, речь идет только об IPv4 и также дыра присутсвует во всех непропатченных версиях Cisco IOS, включая ветки 9.х, 10.x, 11.x и 12.x. Cisco IOS XR в списке уязвимых систем не присутствует. Рекомендации по устранению уязвимости и/или защите от возможных атак на сайте компании здесь .
Alice D. Saemon
Первая уязвимость - Crafted IP Option Vulnerability - позволяет выполнить атаку типа "отказ в обслуживании" и, возможно, даже запустить произвольный код на атакуемой системе. Суть уязвимости в некорректной обработке ICMP-, PIMv2-, PGM- или URD-пакетов, содержащих некоторые специфические опции в IP-заголовке (к сожалению, подробностей про загадочные опции найти пока не удалось). Подчеркивается, что уязвима лишь реализация интернет-протокола версии 4; устройств, сконфигурированных для использования исключительно IPv6, эта беда не касается. Уязвимость присутствует во всех непропатченных версиях Cisco IOS, включая ветки 9.х, 10.x, 11.x и 12.x, а также в непропатченных Cisco IOS XR 2.0.X, 3.0.X и 3.2.X.
На сайте компании есть документ, содержащий список уязвимых версий IOS с вариантами, на что можно эти версии заменить. Также приведены рекомендации, как защитить систему до замены ОС или если такая замена невозможна. Рекомендации сводятся к отключению потенциально опасных протоколов и добавлению запрещающих записей в списки доступа (Access Control Lists, ACLs). Документ находится здесь .
Вторая уязвимость - Crafted TCP Packet Vulnerability - также связана с некорректными (специально сформированными) пакетами, но на сей раз речь идет о TCP-заголовке. Речь идет о пакетах, предназначенных для атакуемого устройства (адрес назначения должен быть назначен на один из интерфейсов устройства), стало быть транзитный трафик, содержащий такие пакеты, абсолютно безопасен.
Уязвимость заключается в том, что при обработке такого пакета происходит небольшая утечка памяти (memory leek), которая достаточно безопасна в случае с единичными пакетами, но при атаке большим количеством пакетов может привести к снижению производительности и даже отказу в обслуживании. Важно то, что для срабатывания этого механизма не требуется полного установления TCP-соединения (3-way handshake), а значит для успешного выполнения атаки подойдут и спуфленные (с подмененым адресом источника) пакеты.
Также как и в случае с первой уязвимостью, речь идет только об IPv4 и также дыра присутсвует во всех непропатченных версиях Cisco IOS, включая ветки 9.х, 10.x, 11.x и 12.x. Cisco IOS XR в списке уязвимых систем не присутствует. Рекомендации по устранению уязвимости и/или защите от возможных атак на сайте компании здесь .
Alice D. Saemon
