Cisco: критическая уязвимость в Cisco ASA

Источник: habrahabr.ru

В операционной системе Cisco ASA обнаружена критическая узявимость CVE-2016-1287 в реализации протокола Internet Key Exchange (IKE) версии 1 и 2, позволяющая выполнять произвольный код или удалённо перезагрузить устройство специально сформированным UDP-пакетом. Ей присвоен наивысший уровень опасности.

Технический обзор и примеры эксплуатации: blog.exodusintel.com/2016/02/10/firewall-hacking

Узвимости подвержены следующие устройства:

• Cisco ASA 5500 Series Adaptive Security Appliances
• Cisco ASA 5500-X Series Next-Generation Firewalls
• Cisco ASA Services Module for Cisco Catalyst 6500 Series Switches and Cisco 7600 Series Routers
• Cisco ASA 1000V Cloud Firewall
• Cisco Adaptive Security Virtual Appliance (ASAv)
• Cisco Firepower 9300 ASA Security Module
• Cisco ISA 3000 Industrial Security Appliance

Уже доступны исправленные версии ОС:

Для большинства современных ОС исправление доступно в виде в промежуточных (Interim) версий, которые не видны при обновлении через ASDM, а на портале загрузки четвёртая цифра версии указана только в Release Notes. Не перепутайте файл прошивки при загрузке: для одноядерных 5500 это просто asaXXX-k8.bin, для многоядерных 5500-X будет вида asaXXX-X-smp-k8.bin, а для FirePOWER имеет другое расширение asaXXX-X-lfbff-k8.SPA.

В версии 9.1.7 уже нашли баг связанный с SNMP, который может вызвать циклическую перезагрузку некоторых устройств. Его и другие проблемы обсуждают в /networking.

Обходное решение

В качестве обходного решения TAC предлагает фильтровать пакеты для портов 500 и 4500:

Here is an example of control plane ACL allowing access from 1.1.1.1 and denying everything else:

access-list test permit udp host 1.1.1.1 any eq 500
access-list test permit udp host 1.1.1.1 any eq 4500
access-list test deny udp any any eq 500
access-list test deny udp any any eq 4500
access-list test permit ip any any
access-group test in interface outside control-plane