Switch vulnerável Cisco Catalyst 2960G-48TC-L. Foto: CiscoA Cisco
publicou informações (ID do boletim: cisco-sa-20170317-cmp) sobre uma vulnerabilidade crítica no CMP (Cluster Management Protocol), fornecido com o Cisco IOS XE Software. Vulnerabilidade
CVE-2017-3881 pode permitir a execução remota de código com privilégios elevados no sistema operacional do gateway Cisco IOS por qualquer usuário remoto não autorizado (que conheça o bug).
Os oficiais da CIA sabiam disso com certeza, o que se segue dos documentos publicados no site do Wikileaks
como parte do projeto Vault 7 (Year Zero) . Os especialistas em segurança da Cisco dizem ter encontrado informações de vulnerabilidade analisando esses documentos.
O CMP é baseado no
telnet , mas suporta parâmetros específicos. O bug está conectado ao processamento incorreto precisamente desses parâmetros específicos do CMP, que foram obtidos pelo telnet. Quais parâmetros específicos devem ser usados para exibir um erro ao processar uma solicitação não são relatados.
A Cisco publica instruções sobre como verificar o CMP no software executado no dispositivo.
Verificação CMP:
show subsys class protocol | include ^cmpSe o subsistema CMP estiver ausente, a resposta será:
Switch#show subsys class protocol | include ^cmp
Switch#Se o subsistema CMP estiver presente, a resposta será a seguinte:
Switch#show subsys class protocol | include ^cmp
cmp Protocol 1.000.001
Switch#Se você possui um subsistema CMP em seu comutador, pode verificar se o CMP aceita conexões de telnet recebidas. E, consequentemente, é possível realizar o ataque mencionado com execução remota de código por meio de um comando especialmente formado.
Verifique o suporte de entrada do telnet:
show running-config | include ^line vty|transport inputPor exemplo, se você usar as configurações padrão, a linha do terminal virtual (VTY) indicará simplesmente os números dos terminais sem nenhuma nota especial:
Switch#show running-config | include ^line vty|transport input
line vty 0 4
line vty 5 15
Switch#As configurações padrão incluem conexões telnet recebidas em todos os terminais virtuais de 0 a 15. Portanto, essa é uma configuração vulnerável.
Para comparação, aqui está uma configuração especial em que apenas SSH é permitido em todos os terminais virtuais:
Switch#show running-config | include ^line vty|transport input
line vty 0 4
transport input ssh
line vty 5 15
transport input ssh
Switch#Essa configuração não seria vulnerável.
A Cisco verificou as versões do Cisco IOS XE Software e descobriu uma lista de 318 switches e outros dispositivos de rede afetados por esta vulnerabilidade. Se o dispositivo não estiver listado, é definitivamente seguro.
A lista inclui 264 comutadores da série Catalyst, 40 comutadores da série Ethernet Industrial e 14 outros dispositivos Cisco.
Modelos de dispositivos vulneráveis As tentativas de explorar essa vulnerabilidade podem ser vistas nos logs das
assinaturas Cisco IPS Signature 7880-0 , Snort SID 41909 e 41910, escreve a Cisco.
É impossível contornar a vulnerabilidade de forma alguma apenas se você desativar completamente as conexões de telnet recebidas e sair do SSH. A Cisco atualmente recomenda essa configuração. Se a desativação do telnet for inaceitável para você, você poderá reduzir a probabilidade de um ataque restringindo o acesso usando as
Listas de controle de acesso da proteção de infraestrutura .
A Cisco prometeu lançar um patch no futuro.
A Cisco foi o primeiro grande fabricante de hardware a identificar a vulnerabilidade mencionada nos documentos da CIA. Até o momento,
apenas desenvolvedores de software relataram erros de fechamento. Obviamente, os documentos ainda precisam ser cuidadosamente analisados. O site Wikileaks ainda não disponibilizou publicamente os arquivos de exploração da CIA, mas prometeu fornecê-los principalmente aos fornecedores para o fechamento prioritário de vulnerabilidades antes de colocar essas ferramentas nas mãos de todos. Julian Assange também mencionou que a parte publicada do Ano Zero é de apenas 1% do volume total do Vault 7. Os documentos estão na posse do Wikileaks e serão dispostos em partes.