Уязвимости в Cisco IOS и IOS XE

Vulnerabilitate majoră Nr.1: Smart Install  - execuția codului de la distanță
Un atacator poate folosi o vulnerabilitate prin Smart Install a Cisco IOS / IOS XE, pentru a rula un cod. Funcția de Smart Install este activată în mod automat pe switch-urile Cisco IOS.
Vulnerabilitatea se datorează validării necorespunzătoare a datelor din pachete. Un atacator ar putea exploata această vulnerabilitate, trimițând un mesaj special Smart Install către portul TCP 4786 a unui dispozitiv afectat. Un ”exploit” reușit ar putea permite atacatorului să provoace supraîncărcarea memoriei (buffer overflow) a dispozitivul afectat.

Dispozitivele potențial afectate
• Cisco Catalyst
• Cisco IOS 12.2. *, 12.4. *, 15.0. *, 15.6. *
• Cisco IOS XE 3.0.*, 3.18. *, 16.1. *, 16.6. *
Soluție permanentă:
Cisco recomandă cu insistență dezactivarea opțiunii Smart Install (with the no vstack configuration command). Actualizați imaginea IOS / IOS XE pentru a remedia problema.

Vulnerabilitate majoră Nr. 2: Quality of Service - execuția codului de la distanță
Un atacator poate folosi o vulnerabilitate, prin intermediul interfeței de Quality of Service a sistemelor Cisco IOS / IOS XE, pentru a rula codul.
Vulnerabilitatea se datorează verificării incorecte a anumitor valori în pachete, care sunt destinate portului UDP 18999, al unui dispozitiv afectat. Un atacator ar putea exploata această vulnerabilitate prin trimiterea de pachete compromise către un dispozitiv afectat. Atunci când pachetele sunt procesate, poate apărea o condiție de buffer overflow exploatabilă. Un ”exploit” reușit ar putea permite atacatorului să execute un cod arbitrar pe dispozitivul afectat, cu privilegii ridicate. Atacatorul ar putea, de asemenea, să utilizeze această vulnerabilitate pentru a provoca reîncărcarea dispozitivului, provocând o condiție provizorie de DoS.

Dispozitivele potențial afectate
• Cisco Catalyst
• Cisco IOS 12.2. *, 12.4. *, 15.0. *, 15.6. *
• Cisco IOS XE 3.0. *, 3.18. *, 16.1. *, 16.6. *

Soluție permanentă:
Actualizați imaginea IOS / IOS XE pentru a remedia problema

Vulnerabilitate majoră Nr. 3: Escaladarea privilegiilor prin credenţiale statice
Un atacator poate ocoli restricțiile prin intermediul Creditelor statice ale Cisco IOS XE, pentru a-și escalada privilegiile.
Vulnerabilitatea se datorează unui cont de utilizator nedocumentat, cu nivelul de privilegii 15, care are un nume de utilizator și o parolă implicită. Un atacator ar putea exploata această vulnerabilitate utilizând acest cont pentru a se conecta de la distanță la un dispozitiv afectat. O exploatare reușită ar putea permite atacatorului să se conecteze la dispozitiv cu acces la nivelul de privilegii 15.

Dispozitivele potențial afectate
• Dispozitive Cisco care rulează Cisco IOS XE 16. *
Soluție permanentă:
Actualizați imaginea IOS XE pentru a remedia problema
Vulnerabilitate majoră Nr. 4: Escaladarea privilegiilor prin credenţiale statice
Un atacator poate ocoli restricțiile prin intermediul parserului CLI al Cisco IOS XE, pentru a-și escalada privilegiile.
Vulnerabilitățile se datorează software-ului afectat, care monitorizează necorespunzător argumentele de comandă pentru a împiedica accesul la structurile interne de date de pe un dispozitiv. Un atacator care are acces la un mod de utilizator EXEC (privilegiul de nivel 1) pe un dispozitiv afectat ar putea exploata aceste vulnerabilități pe dispozitiv prin executarea comenzilor CLI care conțin argumente elaborate. O exploatare reușită ar putea permite atacatorului să obțină acces la shell-ul al dispozitivului afectat și să execute comenzi arbitrare cu privilegii root pe dispozitiv.

Dispozitivele potențial afectate
• Dispozitive Cisco care rulează Cisco IOS XE

Soluție permanentă:
Actualizați imaginea IOS XE pentru a remedia problema

Vulnerabilitate majoră Nr. 5: DoS prin SNMP
Un atacator poate ocoli restricțiile prin intermediul parserului CLI al Cisco IOS XE, pentru a-și escalada privilegiile.
Vulnerabilitatea se datorează unei condiții care poate apărea atunci când software-ul afectat procesează o cerere de citire SNMP care conține o solicitare pentru ID-ul obiectului ciscoFlashMIB (OID). Un atacator ar putea declanșa această vulnerabilitate prin emiterea unei cereri SNMP GET pentru OID ciscoFlashMIB pe un dispozitiv afectat. O exploatare reușită ar putea provoca repornirea dispozitivului afectat.

Dispozitivele potențial afectate
• Cisco Catalyst 260-L series
• Cisco Catalyst Digital Series Switches 8P, 8U
• Cisco IOS 15.2
• Cisco IOS 15.2EX

Soluție permanentă:
Actualizați imaginea IOS pentru a remedia problema

Orange Moldova CERT recomandă:
1. Verificarea versiunilor curente a sistemului de operare a dispozitivelor CISCO utilizate
2. Consultarea portalul de asistență Cisco, pentru patch-uri și upgrade-uri.
3. Actualizarea versiunilor sistemelor de operare.