Conmutador vulnerable Cisco Catalyst 2960G-48TC-L. Foto: CiscoCisco ha
publicado información (ID de boletín: cisco-sa-20170317-cmp) sobre una vulnerabilidad crítica en el Cluster Management Protocol (CMP), que se incluye con el software Cisco IOS XE. La vulnerabilidad
CVE-2017-3881 podría permitir la ejecución remota de código con privilegios elevados en el sistema operativo de la puerta de enlace Cisco IOS por cualquier usuario remoto no autorizado (que sepa sobre el error).
Los oficiales de la CIA lo sabían con certeza, lo que se deduce de los documentos publicados en el sitio web de Wikileaks
como parte del proyecto Vault 7 (Año Cero) . Los expertos en seguridad de Cisco dicen que encontraron información de vulnerabilidad al analizar estos documentos.
CMP se basa en
telnet , pero admite parámetros específicos. El error está relacionado con el procesamiento incorrecto de estos parámetros específicos de CMP, que se obtuvieron por telnet. No se informa qué parámetros específicos se deben usar para mostrar un error cuando se procesa una solicitud.
Cisco publica instrucciones sobre cómo verificar si hay CMP en el software que se ejecuta en el dispositivo.
Verificación de CMP:
show subsys class protocol | include ^cmpSi falta el subsistema CMP, la respuesta será:
Switch#show subsys class protocol | include ^cmp
Switch#Si el subsistema CMP está presente, la respuesta será la siguiente:
Switch#show subsys class protocol | include ^cmp
cmp Protocol 1.000.001
Switch#Si tiene un subsistema CMP en su conmutador, puede verificar si CMP acepta conexiones telnet entrantes. Y, en consecuencia, es posible llevar a cabo el ataque antes mencionado con la ejecución remota de código mediante un comando especialmente formado.
Verifique el soporte entrante de telnet:
show running-config | include ^line vty|transport inputPor ejemplo, si usa la configuración predeterminada, la línea de terminal virtual (VTY) simplemente indicará los números de terminal sin ninguna nota especial:
Switch#show running-config | include ^line vty|transport input
line vty 0 4
line vty 5 15
Switch#La configuración predeterminada incluye conexiones telnet entrantes en todos los terminales virtuales de 0 a 15. Por lo tanto, esta es una configuración vulnerable.
A modo de comparación, aquí hay una configuración especial donde solo se permite SSH en todos los terminales virtuales:
Switch#show running-config | include ^line vty|transport input
line vty 0 4
transport input ssh
line vty 5 15
transport input ssh
Switch#Tal configuración no sería vulnerable.
Cisco verificó las versiones del software Cisco IOS XE y descubrió una lista de 318 conmutadores y otros dispositivos de red afectados por esta vulnerabilidad. Si el dispositivo no está en la lista, entonces definitivamente es seguro.
La lista incluye 264 switches de la serie Catalyst, 40 switches de la serie Industrial Ethernet y otros 14 dispositivos Cisco.
Modelos de dispositivos vulnerables Los intentos de aprovechar esta vulnerabilidad se pueden ver en los registros de las
firmas Cisco IPS Signature 7880-0 , Snort SID 41909 y 41910, escribe Cisco.
Es imposible evitar la vulnerabilidad de ninguna manera solo si deshabilita por completo las conexiones entrantes de telnet y deja SSH. Cisco actualmente recomienda esta configuración. Si deshabilitar telnet es inaceptable para usted, puede reducir la probabilidad de un ataque restringiendo el acceso mediante las
Listas de control de acceso de Protección de infraestructura .
Cisco ha prometido lanzar un parche en el futuro.
Cisco fue el primer gran fabricante de hardware en identificar la vulnerabilidad mencionada en los documentos de la CIA. Hasta ahora,
solo los desarrolladores de software han reportado errores de cierre. Por supuesto, los documentos aún deben analizarse cuidadosamente. El sitio web de Wikileaks aún no ha hecho públicos los archivos de explotación de la CIA, pero prometió proporcionarlos principalmente a los proveedores para el cierre prioritario de vulnerabilidad antes de poner estas herramientas en manos de todos. Julian Assange también mencionó que la parte publicada del Año Cero es solo el 1% del volumen total de la Bóveda 7. Los documentos están en posesión de Wikileaks y se distribuirán en partes.