Cisco Applied Mitigation Bulletin-
Dieses "Applied Mitigation Bulletin" ist ein Begleitdokument zu den PSIRT-Sicherheitsempfehlungen für die Cisco IOS Software und die IOS XE Software mDNS Gateway Denial of Service-Schwachstellen und bietet Identifizierungs- und Eindämmungstechniken, die Administratoren auf Cisco Netzwerkgeräten einsetzen können.
-
Das Cisco mDNS Gateway weist bei der Verarbeitung von Paketen der IP-Version 4 (IPv4) und der IP-Version 6 (IPv6) eine Schwachstelle auf. Diese Schwachstelle kann ohne Authentifizierung und ohne Benutzereingriffe per Remote-Zugriff ausgenutzt werden. Wenn diese Schwachstelle erfolgreich ausgenutzt wird, kann dies zu einer Diensteverweigerung (Denial of Service, DoS) führen. Wiederholte Versuche, diese Schwachstelle auszunutzen, können zu einem anhaltenden DoS-Zustand führen. Der Angriffsvektor zur Ausnutzung besteht aus SIP-IPv4- und IPv6-Paketen mit dem UDP-Port 5353. Ein Angreifer könnte diese Verwundbarkeit mit gefälschten Paketen ausnutzen.
Dieser Schwachstelle wurde die Common Vulnerabilities and Exposures (CVE)-ID CVE-2015-0650 zugewiesen.
-
Überblick über Sicherheitslücken
Informationen zu anfälliger, nicht betroffener und fest installierter Software finden Sie in der Cisco Security Advisory, die unter folgendem Link verfügbar ist: https://sec.cloudapps.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-20150325-mdns.
-
Überblick über die Risikominderungstechnik
Cisco Geräte bieten verschiedene Gegenmaßnahmen für diese Schwachstelle. Den Administratoren wird empfohlen, diese Schutzmethoden als allgemeine Best Practices für die Sicherheit von Infrastrukturgeräten und des Datenverkehrs im Netzwerk zu betrachten. Dieser Abschnitt des Dokuments bietet einen Überblick über diese Techniken.
Die Cisco IOS Software bietet mithilfe von Transit-Zugriffskontrolllisten (tACL) effektive Möglichkeiten zur Verhinderung von Exploits. Dieser Schutzmechanismus filtert und löscht Pakete, die diese Schwachstelle ausnutzen wollen
Cisco Adaptive Security Appliances der Serie ASA 5500, Cisco Catalyst ASA Services Module (ASASM) der Serie 6500 und das Firewall Services Module (FWSM) für Cisco Catalyst Switches der Serie 6500 und Cisco Router der Serie 7600 bieten ebenfalls eine effektive Exploit-Prevention unter Verwendung von Transit Access Control Lists (tACL). Dieser Schutzmechanismus filtert und löscht Pakete, die versuchen, diese Schwachstelle auszunutzen.
-
Risikomanagement
Den Unternehmen wird empfohlen, die potenziellen Auswirkungen dieser Schwachstelle anhand ihrer Standardprozesse zur Risikobewertung und -minderung zu ermitteln. Triage bezieht sich auf das Sortieren von Projekten und die Priorisierung von Bemühungen, die am wahrscheinlichsten erfolgreich sein werden. Cisco hat Dokumente bereitgestellt, die Unternehmen bei der Entwicklung einer risikobasierten Triage-Funktion für ihre Informationssicherheitsteams unterstützen. Risikoanalyse für Ankündigungen zu Sicherheitslücken sowie Risikoanalyse und -prototyping unterstützen Unternehmen bei der Entwicklung wiederholbarer Sicherheitsevaluierungs- und Reaktionsprozesse.
-
Gerätespezifische Eindämmung und Identifizierung
Vorsicht: Die Effektivität jeglicher Eindämmungstechnik hängt von spezifischen Kundensituationen wie Produktmix, Netzwerktopologie, Datenverkehrsverhalten und organisatorischem Auftrag ab. Prüfen Sie wie bei jeder Konfigurationsänderung die Auswirkungen dieser Konfiguration, bevor Sie die Änderung übernehmen.
Spezifische Informationen zur Risikominderung und Identifizierung sind für diese Geräte verfügbar:
Cisco IOS-Router und -Switches
Eindämmung: Transit-Zugriffskontrolllisten
Um das Netzwerk vor Datenverkehr zu schützen, der am Eingangspunkt in das Netzwerk gelangt, z. B. Internetverbindungspunkte, Verbindungspunkte für Partner und Lieferanten oder VPN-Verbindungspunkte, sollten Administratoren Transit-Zugriffskontrolllisten (tACLs) bereitstellen, um die Richtlinien durchzusetzen. Administratoren können eine tACL erstellen, indem sie explizit zulassen, dass nur autorisierter Datenverkehr an den Eingangs-Access Points in das Netzwerk eindringt, oder indem sie autorisiertem Datenverkehr gestatten, das Netzwerk gemäß den bestehenden Sicherheitsrichtlinien und -konfigurationen zu passieren. Eine tACL-Problemumgehung kann keinen vollständigen Schutz vor dieser Schwachstelle bieten, wenn der Angriff von einer vertrauenswürdigen Quelladresse ausgeht. Die tACL-Richtlinie verweigert nicht autorisierte IPv4- und IPv6-Pakete auf dem UDP-Port 5353, die an betroffene Geräte gesendet werden. Im folgenden Beispiel stehen 192.168.60.0/24 und 2001:DB8:1:60::/64 für den IP-Adressraum, der von den betroffenen Geräten verwendet wird. Es sollte darauf geachtet werden, dass der für das Routing und den Administratorzugriff erforderliche Datenverkehr zugelassen wird, bevor nicht autorisierter Datenverkehr abgelehnt wird. Weitere Informationen zu tACLs finden Sie in Transit Access Control Lists: Filtering at Your Edge.! !-- Include explicit permit statements for trusted sources that !-- require access on the vulnerable UDP port ! access-list 150 permit udp host 192.168.100.1 host 224.0.0.251 eq 5353 ! !-- The following vulnerability-specific access control entry !-- (ACE) can aid in identification of attacks ! access-list 150 deny udp any 192.168.60.0 0.0.0.255 eq 5353 ! !-- Permit or deny all other Layer 3 and Layer 4 traffic in accordance !-- with existing security policies and configurations ! !-- Explicit deny for all other IP traffic ! access-list 150 deny ip any any ! ! !-- Create the corresponding IPv6 tACL ! ipv6 access-list IPv6-Transit-ACL-Policy ! !-- Include explicit permit statements for trusted sources that !-- require access on the vulnerable UDP port ! permit udp host 2001:DB8::100:1 host FF02::FB eq 5353 ! !-- The following vulnerability-specific ACE can !-- aid in identification of attacks to global and !-- link-local addresses ! deny udp any 2001:DB8:1:60::/64 eq 5353 ! !-- Permit or deny all other Layer 3 and Layer 4 traffic in !-- accordance with existing security policies and configurations !-- and allow IPv6 neighbor discovery packets, which !-- include neighbor solicitation packets and neighbor !-- advertisement packets ! permit icmp any any nd-ns permit icmp any any nd-na ! !-- Explicit deny for all other IPv6 traffic ! deny ipv6 any any ! ! !-- Apply tACLs to interface in the ingress direction ! interface GigabitEthernet0/0 ip access-group 150 in ipv6 traffic-filter IPv6-Transit-ACL-Policy in
Beachten Sie, dass das Filtern mit einer Schnittstellenzugriffsliste die Übertragung von nicht erreichbaren ICMP-Nachrichten zurück an die Quelle des gefilterten Datenverkehrs auslöst. Das Generieren dieser Nachrichten könnte den unerwünschten Effekt einer erhöhten CPU-Auslastung auf dem Gerät haben. In Cisco IOS-Software ist nicht-erreichbare Generation ICMP auf ein Paket alle 500 Millisekunden standardmäßig begrenzt. Die Erzeugung von nicht erreichbaren ICMP-Nachrichten kann mithilfe der Schnittstellenkonfigurationsbefehle no ip unreachables und no ipv6 unreachables deaktiviert werden. Die Durchsatzbegrenzung "ICMP unreachable" kann mithilfe der globalen Konfigurationsbefehle ip icmp rate-limit unreachable interval-in-ms und ipv6 icmp error-interval-interval-in-ms vom Standard geändert werden.
Informationen zur Verwendung der Cisco IOS-Befehlszeilenschnittstelle zur Messung der Effektivität der tACL finden Sie im Cisco Security Whitepaper Identifying the Effectiveness of Security Mitigations Using Cisco IOS Software.
Cisco ASA, Cisco ASASM und Cisco FWSM-Firewalls
Eindämmung: Transit-Zugriffskontrolllisten
Um das Netzwerk vor Datenverkehr zu schützen, der am Eingangspunkt in das Netzwerk gelangt, z. B. Internetverbindungspunkte, Verbindungspunkte für Partner und Lieferanten oder VPN-Verbindungspunkte, sollten Administratoren tACLs bereitstellen, um die Richtlinien durchzusetzen. Administratoren können eine tACL erstellen, indem sie explizit zulassen, dass nur autorisierter Datenverkehr an den Eingangs-Access Points in das Netzwerk eindringt, oder indem sie autorisiertem Datenverkehr gestatten, das Netzwerk gemäß den bestehenden Sicherheitsrichtlinien und -konfigurationen zu passieren. Eine tACL-Problemumgehung kann keinen vollständigen Schutz vor dieser Schwachstelle bieten, wenn der Angriff von einer vertrauenswürdigen Quelladresse ausgeht.
Die tACL-Richtlinie verweigert nicht autorisierte IPv4- und IPv6-Pakete auf dem UDP-Port 5353, die an betroffene Geräte gesendet werden. Im folgenden Beispiel stellen 192.168.60.0/24 und 2001:DB8:1:60::/64 den IP-Adressraum dar, der von den betroffenen Geräten verwendet wird, und die Hosts unter 192.168.100.1 und 2001:DB8::100:1 gelten als vertrauenswürdige Quellen, die Zugriff auf die betroffenen Geräten. Es sollte darauf geachtet werden, dass der für das Routing und den Administratorzugriff erforderliche Datenverkehr zugelassen wird, bevor nicht autorisierter Datenverkehr abgelehnt wird.
Weitere Informationen zu tACLs finden Sie unter Transit Access Control Lists: Filtering at Your Edge.
! !-- Include explicit permit statements for trusted sources !-- that require access on the vulnerable UDP port ! access-list tACL-Policy extended permit udp host 192.168.100.1 host 224.0.0.251 eq 5353 ! !-- The following vulnerability-specific access control entry !-- (ACE) can aid in identification of attacks ! access-list tACL-Policy extended deny udp any 192.168.60.0 255.255.255.0 eq 5353 ! !-- Permit or deny all other Layer 3 and Layer 4 traffic in accordance !-- with existing security policies and configurations ! !-- Explicit deny for all other IP traffic ! access-list tACL-Policy extended deny ip any 192.168.60.0 255.255.255.0 ! ! !-- Create the corresponding IPv6 tACL ! ! !-- Include explicit permit statements for trusted sources that !-- require access on the vulnerable UDP port ! ipv6 access-list IPv6-tACL-Policy permit udp host 2001:DB8::100:1 host FF02::FB eq 5353 ! !-- The following vulnerability-specific ACE can !-- aid in identification of attacks ! ipv6 access-list IPv6-tACL-Policy deny udp any 2001:DB8:1:60::/64 eq 5353 ! !-- Permit or deny all other Layer 3 and Layer 4 traffic in !-- accordance with existing security policies and configurations ! ! !-- Explicit deny for all other IPv6 traffic ! ipv6 access-list IPv6-tACL-Policy deny ip any any ! ! !-- Apply tACLs to interfaces in the ingress direction ! access-group tACL-Policy in interface outside access-group IPv6-tACL-Policy in interface outside
Informationen zur Verwendung der Cisco Firewall-Befehlszeilenschnittstelle zur Messung der Effektivität von tACLs finden Sie im Whitepaper Cisco Security Intelligence Operations Identification of Security Exploits with Cisco ASA, Cisco ASASM, and Cisco FWSM Firewalls.
Ab Version 9.0 der Cisco ASA Software unterstützen Zugriffskontrolllisten (d. h. einheitliche Zugriffskontrolllisten) IPv4- und IPv6-Adressen. Es kann eine Mischung aus IPv4- und IPv6-Adressen für die Quelle und das Ziel der ACL angegeben werden. Die Schlüsselwörter any4 und any6 wurden hinzugefügt, um reinen IPv4-Datenverkehr bzw. reinen IPv6-Datenverkehr darzustellen.
Die in den IPv4- und IPv6-ACLs dieses Abschnitts dargestellten IPv4- und IPv6-Zugriffslisteneinträge (ACEs) können auch in eine einheitliche ACL integriert werden.
Weitere Informationen zu einheitlichen Zugriffskontrolllisten finden Sie im Abschnitt Hinzufügen einer erweiterten Zugriffsliste im Cisco ASA-Konfigurationsleitfaden.
-
Dieses Dokument wird in der vorliegenden Form bereitgestellt und impliziert keine Garantie oder Gewährleistung, einschließlich der Gewährleistung der Marktgängigkeit oder Eignung für einen bestimmten Zweck. Die Nutzung der Informationen im Dokument oder den Materialien, die mit dem Dokument verknüpft sind, erfolgt auf Ihr eigenes Risiko. Cisco behält sich das Recht vor, dieses Dokument jederzeit zu ändern oder zu aktualisieren.
-
Weniger anzeigenVersion Beschreibung Abschnitt Datum 1 Erstveröffentlichung 25. März 2015, 16:01 Uhr GMT
-
Vollständige Informationen zur Meldung von Sicherheitslücken in Cisco Produkten, zum Erhalt von Unterstützung bei Sicherheitsvorfällen und zur Registrierung für den Erhalt von Sicherheitsinformationen von Cisco finden Sie auf der weltweiten Cisco Website unter https://sec.cloudapps.cisco.com/security/center/resources/security_vulnerability_policy.html. Dies beinhaltet Anweisungen für Presseanfragen bezüglich der Sicherheitshinweise von Cisco. Alle Cisco Sicherheitsankündigungen finden Sie unter http://www.cisco.com/go/psirt.
-
Die Sicherheitslücke betrifft die folgenden Produktkombinationen.
Primäre Produkte Cisco IOS 12,2 IRD (12,2(33)IRD1) | 12,2 IRE (12,2(33)IRE3) | 12,2 SQ (12,2(44)SQ1) | 12.2SXI (12.2(33)SXI4b) | 12,4 (12,4(25e)JAM1) | 12,4 JAP (12,4(25e)JAP1m) | 12,4 JAZ (12,4(25e)JAZ1) | 15,0ED (15,0(2)ED1) | 15.1SY (15.1(2)SY, 15.1(2)SY1, 15.1(2)SY2, 15.1(2)SY3) | 15.2E (15.2(1)E, 15.2(1)E1, 15.2(1)E2, 15.2(1)E3, 15.2(2)E) | 15,2 JB (15,2(2)JB1) | 15,3 JA (15,3(3)JA1n) | 15.3JAB (15.3(3)JAB1) | 15,3 JN (15,3(3)JN) | 15.3 JNB (15.3(3)JNB) | 15,3S (15,3(2)S2, 15,3(3)S, 15,3(3)S1, 15,3(3)S1a, 15,3(3)S2, 15,3(3)S2a, 15,3(3)S3) | 15,4 Mio. (15,4(3)M, 15,4(3)M1, 15,4(3)M2) | 15,4 S (15,4(1)S, 15,4(1)S1, 15,4(1)S2, 15,4(2)S, 15,4(2)S1, 15,4(3)S) | 15,4SN (15,4(2)SN, 15,4(2)SN1, 15,4(3)SN, 15,4(3)SN1) | 15,4 T (15,4(1)T, 15,4(1)T1, 15,4(1)T2, 15,4(2)T, 15,4(2)T1) Cisco IOS XE-Software 3.3SE (3.3.0SE, 3.3.1SE) | 3,5E (3.5.0E, 3.5.1E, 3.5.2E, 3.5.3E) | 3,6 E (3,6 E) | 3,10S (3,10,0S, 3,10,0aS, 3,10,1S, 3,10,1xbS, 3,10,1xcS, 3,10,2S, 3,10,2aS, 3,10,3S) | 3,11 S (3,11 S, 3,11 S, 3,11 S) | 3,12 S (3,12 S, 3,12 S) | 3,13 S (3,13 S, 3,13 S)
Zugehörige Produkte
-
Dieses Dokument wird in der vorliegenden Form bereitgestellt und impliziert keine Garantie oder Gewährleistung, einschließlich der Gewährleistung der Marktgängigkeit oder Eignung für einen bestimmten Zweck. Die Nutzung der Informationen im Dokument oder den Materialien, die mit dem Dokument verknüpft sind, erfolgt auf Ihr eigenes Risiko. CISCO BEHÄLT SICH DAS RECHT VOR, WARNUNGEN JEDERZEIT ZU ÄNDERN ODER ZU AKTUALISIEREN.
Eine eigenständige Kopie oder Umschreibung des Texts in diesem Dokument, die die Verteilungs-URL auslässt, ist eine unkontrollierte Kopie und enthält möglicherweise keine wichtigen Informationen oder sachliche Fehler. Die Informationen in diesem Dokument sind für Endbenutzer von Cisco Produkten bestimmt.