Commutateur Cisco Catalyst 2960G-48TC-L vulnérable. Photo: CiscoCisco a
publié des informations (Bulletin ID: cisco-sa-20170317-cmp) sur une vulnérabilité critique du protocole de gestion de cluster (CMP), fourni avec le logiciel Cisco IOS XE. La vulnérabilité
CVE-2017-3881 pourrait permettre l'exécution de code à distance avec des privilèges élevés sur le système d'exploitation de la passerelle Cisco IOS par tout utilisateur distant non autorisé (qui connaît le bogue).
Les officiers de la CIA le savaient à coup sûr, ce qui découle des documents publiés sur le site Web de Wikileaks
dans le cadre du projet Vault 7 (Year Zero) . Les experts en sécurité de Cisco affirment avoir trouvé des informations de vulnérabilité en analysant ces documents.
CMP est basé sur
telnet , mais prend en charge des paramètres spécifiques. Le bogue est lié au traitement incorrect de ces paramètres spécifiques à CMP, qui ont été obtenus par telnet. Les paramètres spécifiques à utiliser pour afficher un bogue lors du traitement d'une demande ne sont pas signalés.
Cisco publie des instructions sur la façon de rechercher le CMP dans les logiciels qui s'exécutent sur l'appareil.
Vérification CMP:
show subsys class protocol | include ^cmpSi le sous-système CMP est manquant, la réponse sera:
Switch#show subsys class protocol | include ^cmp
Switch#Si le sous-système CMP est présent, la réponse sera la suivante:
Switch#show subsys class protocol | include ^cmp
cmp Protocol 1.000.001
Switch#Si vous avez un sous-système CMP sur votre commutateur, vous pouvez vérifier si CMP accepte les connexions Telnet entrantes. Et, en conséquence, est-il possible de mener l'attaque susmentionnée avec l'exécution de code à distance au moyen d'une commande spécialement formée.
Vérifiez la prise en charge entrante telnet:
show running-config | include ^line vty|transport inputPar exemple, si vous utilisez les paramètres par défaut, la ligne du terminal virtuel (VTY) indiquera simplement les numéros de terminal sans aucune note spéciale:
Switch#show running-config | include ^line vty|transport input
line vty 0 4
line vty 5 15
Switch#Les paramètres par défaut incluent les connexions Telnet entrantes sur tous les terminaux virtuels de 0 à 15. Par conséquent, il s'agit d'une configuration vulnérable.
À titre de comparaison, voici une configuration spéciale où seul SSH est autorisé sur tous les terminaux virtuels:
Switch#show running-config | include ^line vty|transport input
line vty 0 4
transport input ssh
line vty 5 15
transport input ssh
Switch#Une telle configuration ne serait pas vulnérable.
Cisco a vérifié les versions du logiciel Cisco IOS XE et a découvert une liste de 318 commutateurs et autres périphériques réseau affectés par cette vulnérabilité. Si l'appareil n'est pas répertorié, il est définitivement sûr.
La liste comprend 264 commutateurs de la gamme Catalyst, 40 commutateurs de la série Industrial Ethernet et 14 autres périphériques Cisco.
Modèles d'appareils vulnérables Des tentatives d'exploiter cette vulnérabilité peuvent être vues dans les journaux sur les
signatures Cisco IPS Signature 7880-0 , Snort SID 41909 et 41910, écrit Cisco.
Il est impossible de contourner la vulnérabilité de quelque façon que ce soit si vous désactivez complètement les connexions Telnet entrantes et quittez SSH. Cisco recommande actuellement cette configuration. Si la désactivation de telnet est inacceptable pour vous, vous pouvez réduire la probabilité d'une attaque en restreignant l'accès à l'aide
des listes de contrôle d'accès de protection de l'infrastructure .
Cisco a promis de publier un correctif à l'avenir.
Cisco a été le premier grand fabricant de matériel à identifier la vulnérabilité mentionnée dans les documents CIA. Jusqu'à présent,
seuls les développeurs de logiciels ont signalé la fermeture de bogues. Bien sûr, les documents doivent encore être soigneusement analysés. Le site Web de Wikileaks n'a pas encore rendu publics les fichiers d'exploitation de la CIA, mais a promis de les fournir principalement aux fournisseurs pour la fermeture des vulnérabilités prioritaires avant de mettre ces outils entre les mains de tout le monde. Julian Assange a également mentionné que la partie publiée de Year Zero ne représente que 1% du volume total de Vault 7. Les documents sont en possession de Wikileaks et seront présentés en plusieurs parties.