مفتاح محفز Cisco Catalyst 2960G-48TC-L. الصورة: سيسكونشرت Cisco
معلومات (معرف النشرة: cisco-sa-20170317-cmp) حول ثغرة خطيرة في بروتوكول إدارة الكتلة (CMP) ، الذي يأتي مع برنامج Cisco IOS XE.
قد تسمح الثغرات الأمنية
CVE-2017-3881 بتنفيذ تعليمات برمجية عن بُعد مع امتيازات مرتفعة على نظام تشغيل بوابة Cisco IOS بواسطة أي مستخدم بعيد غير مصرح به (يعرف عن الخطأ).
عرف ضباط وكالة المخابرات المركزية عن ذلك بالتأكيد ، والذي يتبع من الوثائق المنشورة على موقع ويكيليكس
كجزء من مشروع Vault 7 (Year Zero) . يقول خبراء أمان Cisco أنهم عثروا على معلومات حول الثغرات الأمنية من خلال تحليل هذه المستندات.
يعتمد CMP على
telnet ، ولكنه يدعم معلمات محددة. الخطأ مرتبط بمعالجة غير صحيحة لهذه المعلمات الخاصة بـ CMP ، والتي تم الحصول عليها عن طريق telnet. ما هي المعلمات المحددة التي يجب استخدامها لعرض خطأ عند عدم الإبلاغ عن معالجة الطلب.
تنشر Cisco إرشادات حول كيفية التحقق من CMP في البرامج التي يتم تشغيلها على الجهاز.
التحقق من CMP:
show subsys class protocol | include ^cmpإذا كان النظام الفرعي CMP مفقودًا ، فسيكون الجواب:
Switch#show subsys class protocol | include ^cmp
Switch#إذا كان النظام الفرعي CMP موجودًا ، فستكون الاستجابة كما يلي:
Switch#show subsys class protocol | include ^cmp
cmp Protocol 1.000.001
Switch#إذا كان لديك نظام فرعي CMP على المحول ، يمكنك التحقق لمعرفة ما إذا كان CMP يقبل اتصالات التلنت الواردة. وبناءً على ذلك ، هل من الممكن تنفيذ الهجوم المذكور عليه من خلال تنفيذ التعليمات البرمجية عن بُعد عن طريق أمر تم تشكيله خصيصًا.
تحقق من الدعم الداخلي لـ telnet:
show running-config | include ^line vty|transport inputعلى سبيل المثال ، إذا كنت تستخدم الإعدادات الافتراضية ، فسيشير خط الطرفية الافتراضية (VTY) ببساطة إلى أرقام المحطة الطرفية دون أي ملاحظات خاصة:
Switch#show running-config | include ^line vty|transport input
line vty 0 4
line vty 5 15
Switch#تتضمن الإعدادات الافتراضية اتصالات التلنت الواردة على جميع المحطات الافتراضية من 0 إلى 15. لذلك ، هذا تكوين ضعيف.
للمقارنة ، فيما يلي تكوين خاص حيث يُسمح فقط بـ SSH على جميع المحطات الافتراضية:
Switch#show running-config | include ^line vty|transport input
line vty 0 4
transport input ssh
line vty 5 15
transport input ssh
Switch#مثل هذا التكوين لن يكون عرضة للخطر.
قامت Cisco بفحص إصدارات برامج Cisco IOS XE واكتشفت قائمة تضم 318 محولًا وأجهزة شبكة أخرى متأثرة بهذه الثغرة الأمنية. إذا لم يكن الجهاز مدرجًا ، فهو بالتأكيد آمن.
تتضمن القائمة 264 من مفاتيح سلسلة Catalyst و 40 من مفاتيح سلسلة Ethernet الصناعية و 14 جهاز Cisco آخر.
يمكن رؤية محاولات استغلال هذه الثغرة الأمنية في السجلات الموجودة على
توقيعات Cisco IPS Signature 7880-0 ، و Snort SID
41909 و
41910 ،
بحسب ما كتبته Cisco.
من المستحيل تجاوز الثغرة الأمنية بأي شكل من الأشكال إلا إذا قمت بتعطيل اتصالات التلنت الواردة تمامًا وترك SSH. توصي Cisco حاليًا بهذا التكوين. إذا كان تعطيل telnet غير مقبول لك ، يمكنك تقليل احتمالية حدوث هجوم من خلال تقييد الوصول باستخدام
قوائم التحكم في الوصول إلى حماية البنية التحتية .
لقد وعدت شركة Cisco بإطلاق التصحيح في المستقبل.
كانت Cisco أول مصنّع رئيسي للأجهزة يحدد الثغرة المذكورة في وثائق وكالة المخابرات المركزية. حتى الآن ،
أبلغ مطورو البرامج فقط عن أخطاء الإغلاق. بالطبع ، لا تزال المستندات بحاجة إلى تحليل دقيق. لم يجعل موقع ويكيليكس حتى الآن وكالة المخابرات المركزية تستغل الملفات المتاحة للجمهور ، لكنه وعد بتقديمها في المقام الأول إلى البائعين لإغلاق الأولوية للثغرات قبل وضع هذه الأدوات في متناول الجميع. ذكر جوليان أسانج أيضًا أن الجزء المنشور من Year Zero هو 1 ٪ فقط من إجمالي حجم Vault 7. المستندات في حوزة ويكيليكس وسيتم وضعها في أجزاء.