Saklar Cisco Catalyst 2960G-48TC-L yang Rentan. Foto: CiscoCisco telah
menerbitkan informasi (Buletin ID: cisco-sa-20170317-cmp) tentang kerentanan kritis dalam Cluster Management Protocol (CMP), yang dikirimkan bersama dengan Cisco IOS XE Software. Kerentanan
CVE-2017-3881 dapat memungkinkan eksekusi kode jarak jauh dengan hak istimewa yang ditingkatkan pada sistem operasi gateway Cisco IOS oleh setiap pengguna jarak jauh yang tidak sah (siapa yang tahu tentang bug).
Petugas CIA tahu tentang hal itu, yang mengikuti dari dokumen yang diterbitkan di situs web Wikileaks
sebagai bagian dari proyek Vault 7 (Tahun Nol) . Pakar keamanan Cisco mengatakan mereka menemukan informasi kerentanan dengan menganalisis dokumen-dokumen ini.
CMP didasarkan pada
telnet , tetapi mendukung parameter tertentu. Bug terhubung dengan pemrosesan yang salah dari parameter khusus CMP ini, yang diperoleh oleh telnet. Parameter spesifik apa yang harus digunakan untuk menampilkan bug saat memproses permintaan tidak dilaporkan.
Cisco menerbitkan instruksi tentang cara memeriksa CMP dalam perangkat lunak yang berjalan pada perangkat.
CMP Periksa:
show subsys class protocol | include ^cmpJika subsistem CMP hilang, jawabannya adalah:
Switch#show subsys class protocol | include ^cmp
Switch#Jika subsistem CMP hadir, responsnya adalah sebagai berikut:
Switch#show subsys class protocol | include ^cmp
cmp Protocol 1.000.001
Switch#Jika Anda memiliki subsistem CMP pada sakelar Anda, Anda dapat memeriksa untuk melihat apakah CMP menerima koneksi telnet yang masuk. Dan, karenanya, apakah mungkin untuk melakukan serangan yang disebutkan di atasnya dengan eksekusi kode jarak jauh melalui perintah yang dibentuk secara khusus.
Verifikasi dukungan masuk telnet:
show running-config | include ^line vty|transport inputMisalnya, jika Anda menggunakan pengaturan default, garis terminal virtual (VTY) hanya akan menunjukkan nomor terminal tanpa catatan khusus:
Switch#show running-config | include ^line vty|transport input
line vty 0 4
line vty 5 15
Switch#Pengaturan standar termasuk koneksi telnet masuk pada semua terminal virtual dari 0 hingga 15. Oleh karena itu, ini adalah konfigurasi yang rentan.
Sebagai perbandingan, berikut ini adalah konfigurasi khusus di mana hanya SSH yang diizinkan di semua terminal virtual:
Switch#show running-config | include ^line vty|transport input
line vty 0 4
transport input ssh
line vty 5 15
transport input ssh
Switch#Konfigurasi seperti itu tidak akan rentan.
Cisco memeriksa versi Cisco IOS XE Software dan menemukan daftar 318 sakelar dan perangkat jaringan lain yang terpengaruh oleh kerentanan ini. Jika perangkat tidak terdaftar, maka pasti aman.
Daftar ini mencakup 264 sakelar seri Catalyst, 40 sakelar seri Ethernet Industri, dan 14 perangkat Cisco lainnya.
Upaya untuk mengeksploitasi kerentanan ini dapat dilihat di log pada
Cisco IPS Signature 7880-0 , Snort SID 41909 dan 41910 tanda tangan, Cisco menulis.
Tidak mungkin untuk memotong kerentanan dengan cara apa pun hanya jika Anda sepenuhnya menonaktifkan koneksi telnet yang masuk dan meninggalkan SSH. Cisco saat ini merekomendasikan konfigurasi ini. Jika menonaktifkan telnet tidak dapat Anda terima, Anda dapat mengurangi kemungkinan serangan dengan membatasi akses menggunakan
Daftar Kontrol Akses Perlindungan Infrastruktur .
Cisco telah berjanji untuk merilis tambalan di masa depan.
Cisco adalah produsen perangkat keras utama pertama yang mengidentifikasi kerentanan yang disebutkan dalam dokumen CIA. Sejauh ini,
hanya pengembang perangkat lunak yang melaporkan bug penutupan. Tentu saja, dokumen-dokumen itu masih perlu dianalisis dengan cermat. Situs web Wikileaks belum membuat CIA mengeksploitasi file yang tersedia untuk umum, tetapi berjanji untuk menyediakannya terutama kepada vendor untuk penutupan kerentanan prioritas sebelum meletakkan alat-alat ini di tangan semua orang. Julian Assange juga menyebutkan bahwa porsi Tahun Nol yang diterbitkan hanya 1% dari total volume Vault 7. Dokumen berada dalam kepemilikan Wikileaks dan akan ditata dalam beberapa bagian.