Antwort von Cisco

• Dieses Applied Mitigation Bulletin ist ein Begleitdokument zur PSIRT-Sicherheitsempfehlung Mehrere Schwachstellen in Cisco IOS XE Software für Cisco Router der Serien ASR 1000, Cisco ISR der Serie 4400 und Cisco Cloud Services der Serie 1000v und bietet Identifizierungs- und Eindämmungstechniken, die Administratoren auf Cisco Netzwerkgeräten bereitstellen können.
  
  In diesem Dokument werden Identifizierungs- und Eindämmungstechniken vorgestellt, die Administratoren auf Cisco Netzwerkgeräten implementieren können. Die in diesem Dokument vorgestellten Techniken beziehen sich nur auf zwei Schwachstellen für Anfälligkeit für Denial-of-Service-Pakete mit Cisco IOS XE Software Layer 4 Redirect
  Schwachstellen bei der Ausführung von TCP-Paketen über Remote-Code in Cisco IOS XE Software und eine Common Flow Table bei Denial of Service in Paketen.

Merkmale der Schwachstelle

• Cisco IOS XE weist mehrere Schwachstellen auf. Die folgenden Unterabschnitte fassen diese Schwachstellen zusammen:
  
  Cisco IOS XE Software Common Flow Table: Denial-of-Service-Schwachstelle für Pakete: Diese Schwachstelle kann per Remote-Zugriff ohne Authentifizierung und ohne Benutzereingriffe ausgenutzt werden. Wenn diese Schwachstelle erfolgreich ausgenutzt wird, kann dies zu einer Diensteverweigerung (Denial of Service, DoS) führen. Wiederholte Versuche, diese Schwachstelle auszunutzen, können zu einem anhaltenden DoS-Zustand führen. Der Angriffsvektor für die Ausnutzung besteht aus TCP- oder UDP-Paketen über IPv4 (Internet Protocol Version 4). Ein Angreifer könnte diese Verwundbarkeit mit gefälschten Paketen ausnutzen.
  
  Dieser Schwachstelle wurde die Common Vulnerabilities and Exposures (CVE)-ID CVE-2015-0639 zugewiesen.
  
  Schwachstelle bei Ausführung von TCP-Paketferncode durch Cisco IOS XE Software : Diese Schwachstelle kann ohne Authentifizierung und ohne Benutzereingriff remote ausgenutzt werden. Eine erfolgreiche Ausnutzung dieser Schwachstelle kann die Ausführung von beliebigem Code auf dem betroffenen System oder eine Denial of Service (DoS)-Bedingung ermöglichen. Wiederholte Versuche, diese Schwachstelle auszunutzen, können zu einem anhaltenden DoS-Zustand führen. Der Angriffsvektor zur Ausnutzung wird durch erstellte TCP-Pakete generiert.
  
  Dieser Schwachstelle wurde die Common Vulnerabilities and Exposures (CVE)-ID CVE-2015-0644 zugewiesen.
  
  Cisco IOS XE Software Layer 4 Redirect Crafted Packet Denial of Service Vulnerability: Diese Schwachstelle kann ohne Authentifizierung und ohne Endbenutzer-Interaktion per Fernzugriff ausgenutzt werden. Wenn diese Schwachstelle erfolgreich ausgenutzt wird, kann dies zu einer Diensteverweigerung (Denial of Service, DoS) führen. Wiederholte Versuche, diese Schwachstelle auszunutzen, können zu einem anhaltenden DoS-Zustand führen. Der Angriffsvektor zur Ausnutzung wird durch erstellte TCP-Pakete generiert.
  
  Dieser Schwachstelle wurde die Common Vulnerabilities and Exposures (CVE)-ID CVE-2015-0645 zugewiesen.

Überblick über Sicherheitslücken

• Informationen zu anfälliger, nicht betroffener und fest installierter Software finden Sie in der Cisco Security Advisory, die unter folgendem Link verfügbar ist: https://sec.cloudapps.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-20150325-iosxe.

Überblick über die Risikominderungstechnik

• Cisco Geräte bieten verschiedene Gegenmaßnahmen für diese Schwachstelle. Den Administratoren wird empfohlen, diese Schutzmethoden als allgemeine Best Practices für die Sicherheit von Infrastrukturgeräten und des Datenverkehrs im Netzwerk zu betrachten. Dieser Abschnitt des Dokuments bietet einen Überblick über diese Techniken.
  
  Die Cisco IOS Software bietet mithilfe der folgenden Methoden einen effektiven Schutz vor Exploits:
  

  • Zonenbasierte und benutzerbasierte IOS-Firewall
  • Unicast Reverse Path Forwarding (URPF)
  • IP Source Guard (IPSG)

  
  Diese Schutzmechanismen filtern und löschen Pakete, die versuchen, diese Schwachstellen auszunutzen, und überprüfen die Quell-IP-Adresse dieser Pakete.
  
  Die ordnungsgemäße Bereitstellung und Konfiguration von uRPF bietet einen effektiven Schutz vor Angriffen, die Pakete mit gefälschten Quell-IP-Adressen verwenden. uRPF sollte so nahe wie möglich an allen Datenverkehrsquellen bereitgestellt werden.
  
  Die ordnungsgemäße Bereitstellung und Konfiguration von IPSG bietet einen effektiven Schutz vor Spoofing-Angriffen auf der Zugriffsebene.
  
  Die Cisco Adaptive Security Appliances der Serien ASA 5500 und 5500-X, das Cisco Catalyst ASA Services Module (ASASM) der Serie 6500 und das Firewall Services Module (FWSM) für Cisco Catalyst Switches der Serie 6500 und Cisco Router der Serie 7600 bieten folgende effektive Möglichkeiten zur Vermeidung von Exploits:
  

  • uRPF
  • TCP-Normalisierung

  
  Diese Schutzmechanismen filtern und löschen Pakete, die versuchen, diese Schwachstellen auszunutzen, und überprüfen die Quell-IP-Adresse dieser Pakete.
  
  Die Cisco ACE Application Control Engine Appliance und das Cisco ACE-Modul bieten zudem eine TCP-Normalisierung, was einen effektiven Schutz vor Sicherheitslücken ermöglicht.
  
  Dieser Schutzmechanismus filtert und löscht Pakete, die versuchen, eine der Schwachstellen auszunutzen.
  
  Die effektive Nutzung von Cisco Intrusion Prevention System (IPS)-Ereignisaktionen bietet Transparenz und Schutz vor Angriffen, die diese Schwachstelle ausnutzen.
  

Risikomanagement

• Den Unternehmen wird empfohlen, die potenziellen Auswirkungen dieser Schwachstellen anhand ihrer Standardprozesse zur Risikobewertung und -minderung zu ermitteln. Triage bezieht sich auf das Sortieren von Projekten und die Priorisierung von Bemühungen, die am wahrscheinlichsten erfolgreich sein werden. Cisco hat Dokumente bereitgestellt, die Unternehmen bei der Entwicklung einer risikobasierten Triage-Funktion für ihre Informationssicherheitsteams unterstützen. Risikoanalyse für Ankündigungen zu Sicherheitslücken sowie Risikoanalyse und -prototyping unterstützen Unternehmen bei der Entwicklung wiederholbarer Sicherheitsevaluierungs- und Reaktionsprozesse.

Gerätespezifische Eindämmung und Identifizierung

• Vorsicht: Die Effektivität jeglicher Eindämmungstechnik hängt von spezifischen Kundensituationen wie Produktmix, Netzwerktopologie, Datenverkehrsverhalten und organisatorischem Auftrag ab. Prüfen Sie wie bei jeder Konfigurationsänderung die Auswirkungen dieser Konfiguration, bevor Sie die Änderung übernehmen.
  
  Spezifische Informationen zur Risikominderung und Identifizierung sind für diese Geräte verfügbar:
  

  • Cisco IOS-Router und -Switches
  • Cisco ASA, Cisco ASASM und Cisco FWSM-Firewalls
  • Cisco ACE
  • Cisco Intrusion Prevention System

  Cisco IOS-Router und -Switches

  Die Cisco IOS-Software führt standardmäßig verschiedene Paketprüfungen für den Transitverkehr durch. So wird beispielsweise die Richtigkeit des IP-Headers eines Pakets überprüft. Ein Cisco IOS-Gerät, das den Datenverkehr aktiv verarbeitet, identifiziert standardmäßig erstellte Pakete, die versuchen, CVE-2015-0645 auszunutzen, und löscht diese. Der Schutz vor Paketen, die diese Schwachstelle ausnutzen, ist nicht konfigurierbar: Zur Aktivierung dieser Funktion sind keine Konfigurationsänderungen erforderlich.

  Eindämmung: IOS Zone-Based and User-Based Firewall

  Ab Version 12.4(6)T der Cisco IOS-Software ersetzte die zonenbasierte Firewall (ZFW) die kontextbasierte Zugriffskontrolle (CBAC) von Cisco IOS. Sie bietet eine präzise Anwendung von Firewall-Richtlinien und eine standardmäßige Deny-All-Richtlinie, die den Datenverkehr zwischen Firewall-Sicherheitszonen untersagt, bis eine explizite Richtlinie angewendet wird, die den gewünschten Datenverkehr zulässt.
  
  In Cisco IOS ZFW legen Zonen die Sicherheitsgrenzen des Netzwerks fest. Eine Zone definiert eine Grenze, an der der Datenverkehr bei der Übertragung in eine andere Region Ihres Netzwerks Richtlinien unterliegt. Die ZFW-Standardrichtlinie für die Zoneneinteilung sieht vor, den gesamten Datenverkehr abzulehnen. Wenn keine Richtlinie explizit konfiguriert wird, wird der gesamte Datenverkehr, der versucht, sich zwischen Zonen zu bewegen, blockiert. Die ZFW verwendet eine Konfigurationsrichtliniensprache, die als Cisco Policy Language (CPL) bezeichnet wird. Benutzer, die mit der Cisco IOS Software Modular Quality-of-Service (QoS) CLI (MQC) vertraut sind, erkennen möglicherweise, dass das Format der Verwendung von Klassenzuordnungen in einer QoS-Konfiguration ähnelt, um anzugeben, welcher Datenverkehr von der in einer Richtlinienzuordnung angewendeten Aktion betroffen ist. Cisco IOS ZFW unterstützt Stateful Layer 4 IPv4- und IPv6-Analysen und bietet darüber hinaus anwendungsspezifische Prüfungen, Stateful Firewall Failover, Authentifizierungsproxy, Denial of Service (DoS)-Eindämmung, URL-Filterung und vieles mehr.
  
  Cisco IOS ZFW erkennt und verwirft Pakete, die CVE-2015-0639 ausnutzen wollen.
  
  Konfigurationsbeispiele finden Sie in den Dokumenten IOS ZBF-Konfiguration mit schrittweiser Konfiguration und IPv6 Zone Based Firewall (ZFW)-Konfiguration in der Cisco Support Community und Cisco Configuration Professional: Zone-Based Firewall Blocking Peer-to-Peer Traffic Configuration Example. Weitere Informationen zu Cisco IOS ZBF finden Sie im Zone-Based Policy Firewall Design and Application Guide.
  
  Die in den Cisco IOS Software-Versionen 12.4(20)T eingeführte Funktion der IOS-benutzerbasierten Firewall kann identitäts- oder benutzergruppenbasierte Sicherheit bereitstellen, die einen differenzierten Zugriff für unterschiedliche Benutzerklassen ermöglicht. Die Klassifizierung kann anhand der Benutzeridentität, des Gerätetyps (z. B. IP-Telefone), des Standorts (z. B. Gebäude) und der Rolle (z. B. Techniker) erfolgen.
  
  Die Cisco IOS Firewall-Richtlinien, die den Zugriff auf Protokolle und Ports blockieren oder Anwendungen filtern, können auf Benutzer- oder Benutzergruppenbasis mithilfe der Funktion "User Based Firewall" (Benutzerbasierte Firewall) konfiguriert werden.
  
  Weitere Informationen zur benutzerbasierten Firewall von Cisco finden Sie im User Based Firewall Support Guide (Handbuch für den Support benutzerbasierter Firewalls) und im Abschnitt Feature Information for User-Based Firewall Support (Informationen zu den Funktionen für den Support benutzerbasierter Firewalls).

  Eindämmung: Spoofing-Schutz

  Unicast Reverse Path Forwarding
  
  Die in diesem Dokument beschriebene CVE-2015-0645 kann durch gefälschte IP-Pakete ausgenutzt werden. Administratoren können Unicast Reverse Path Forwarding (uRPF) als Schutzmechanismus gegen Spoofing bereitstellen und konfigurieren.
  
  uRPF wird auf Schnittstellenebene konfiguriert und kann Pakete erkennen und verwerfen, denen eine verifizierbare Quell-IP-Adresse fehlt. Administratoren sollten sich nicht darauf verlassen, dass uRPF einen vollständigen Spoofing-Schutz bietet, da gefälschte Pakete über eine uRPF-fähige Schnittstelle in das Netzwerk gelangen können, wenn eine entsprechende Rückgaberoute zur Quell-IP-Adresse vorhanden ist. Den Administratoren wird empfohlen, während der Bereitstellung dieser Funktion sicherzustellen, dass der geeignete uRPF-Modus (flexibel oder strikt) konfiguriert wird, da legitimer Datenverkehr, der das Netzwerk durchquert, verworfen werden kann. In einer Unternehmensumgebung kann uRPF am Internet-Edge und auf der internen Zugriffsebene an den benutzerunterstützenden Layer-3-Schnittstellen aktiviert werden.
  
  Weitere Informationen zur Konfiguration und Verwendung von uRPF finden Sie im Whitepaper Understanding Unicast Reverse Path Forwarding Cisco Security Intelligence Operations.
  
  IP-Quellschutz
  
  IP Source Guard (IPSG) ist eine Sicherheitsfunktion, die den IP-Datenverkehr an nicht gerouteten Layer-2-Schnittstellen beschränkt, indem Pakete auf Basis der DHCP-Snooping-Bindungsdatenbank und manuell konfigurierter IP-Source-Bindings gefiltert werden. Administratoren können IPSG verwenden, um Angriffe eines Angreifers zu verhindern, der versucht, Pakete durch Fälschung der Quell-IP-Adresse und/oder der MAC-Adresse zu fälschen. Bei ordnungsgemäßer Bereitstellung und Konfiguration stellt IPSG in Verbindung mit dem strengen Modus "uRPF" die effektivste Methode zum Spoofing-Schutz für CVE-2015-0645 dar, die in diesem Dokument beschrieben wird.
  
  Weitere Informationen zur Bereitstellung und Konfiguration von IPSG finden Sie unter Konfigurieren der DHCP-Funktionen und von IP Source Guard.
  
  Weitere Informationen zur Verwendung der IOS-Befehlszeilenschnittstelle zur Messung der Effektivität des Spoofing-Schutzes finden Sie im Whitepaper Cisco Security Intelligence Operations Identifying the Effectiveness of Security Mitigations Using Cisco IOS Software.

  Cisco ASA, Cisco ASASM und Cisco FWSM-Firewalls

  Die Cisco ASA-Software führt standardmäßig verschiedene Paketprüfungen für den Transitverkehr durch. So wird beispielsweise die Richtigkeit des IP-Headers eines Pakets überprüft. Eine aktive Cisco ASA-Prüfung des Datenverkehrs identifiziert und verwirft standardmäßig erstellte Pakete, die CVE-2015-0645 ausnutzen möchten. Der Schutz vor Paketen, die diese Schwachstelle ausnutzen, ist nicht konfigurierbar: Zur Aktivierung dieser Funktion sind keine Konfigurationsänderungen erforderlich.

  Eindämmung: Spoofing-Schutz mit Unicast Reverse Path Forwarding

  Die in diesem Dokument beschriebene CVE-2015-0645 kann durch gefälschte IP-Pakete ausgenutzt werden. Administratoren können uRPF als Spoofing-Schutzmechanismus bereitstellen und konfigurieren.
  
  uRPF wird auf Schnittstellenebene konfiguriert und kann Pakete erkennen und verwerfen, denen eine verifizierbare Quell-IP-Adresse fehlt. Administratoren sollten sich nicht darauf verlassen, dass uRPF einen vollständigen Spoofing-Schutz bietet, da gefälschte Pakete über eine uRPF-fähige Schnittstelle in das Netzwerk gelangen können, wenn eine entsprechende Rückgaberoute zur Quell-IP-Adresse vorhanden ist. In einer Unternehmensumgebung kann uRPF am Internet-Edge und auf der internen Zugriffsebene der benutzerunterstützenden Layer-3-Schnittstellen aktiviert werden.
  
  Weitere Informationen zur Konfiguration und Verwendung von uRPF finden Sie in der Cisco Security Appliance Command Reference for ip verify reverse path und im Whitepaper Understanding Unicast Reverse Path Forwarding Cisco Security Intelligence Operations.
  
  Informationen zur Verwendung der Firewall-Kommandozeilenschnittstelle zur Messung der Effektivität des Spoofing-Schutzes finden Sie im Whitepaper Cisco Security Intelligence Operations Identification of Security Exploits with Cisco ASA, Cisco ASASM, and Cisco FWSM Firewalls.

  Abschwächung: TCP-Normalisierung

  Die TCP-Normalisierungsfunktion identifiziert ungewöhnliche Pakete, auf die die Sicherheits-Appliance reagieren kann, wenn sie erkannt werden. Beispielsweise kann die Sicherheits-Appliance die Pakete zulassen, verwerfen oder löschen. Der TCP-Normalisierer umfasst nicht konfigurierbare und konfigurierbare Aktionen. Normalerweise werden Pakete, die als schädlich eingestuft werden, durch nicht konfigurierbare Aktionen zum Verwerfen oder Löschen von Verbindungen betroffen. Die TCP-Normalisierung ist ab Softwareversion 7.0(1) für die Cisco Adaptive Security Appliance der Serie ASA 5500, Softwareversion 8.5 für das Cisco Catalyst ASA Services Module der Serie 6500 und Softwareversion 3.1(1) für das Cisco Firewall Services Module verfügbar.
  
  Die TCP-Normalisierung ist standardmäßig aktiviert und verwirft Pakete, die möglicherweise CVE-2015-0639 ausnutzen. Der Schutz vor Paketen, die diese Schwachstelle ausnutzen können, ist eine nicht konfigurierbare TCP-Normalisierungsaktion: Zum Aktivieren dieser Funktion sind keine Konfigurationsänderungen erforderlich.
  
  Weitere Informationen zur TCP-Normalisierung finden Sie im Abschnitt Verbindungslimits und Timeouts im Book 2: Cisco ASA Series Firewall CLI Configuration Guide, 9.2.
  
  Informationen zur Verwendung der Firewall Command-Line Interface (CLI) zur Messung der Effektivität der TCP-Normalisierung finden Sie im Whitepaper Identification of Security Exploits with Cisco ASA, Cisco ASASM, and Cisco FWSM Firewalls (Identifizierung von Sicherheitslücken mit Cisco ASA-, Cisco ASASM- und Cisco FWSM-Firewalls).

  Cisco ACE

  Abschwächung: TCP-Normalisierung

  Die TCP-Normalisierung ist eine Layer-4-Funktion, die aus einer Reihe von Prüfungen besteht, die der Cisco ACE in verschiedenen Phasen eines Datenflusses durchführt, beginnend mit der anfänglichen Verbindungseinrichtung bis hin zum Schließen einer Verbindung. Viele der Segmentprüfungen können durch Konfigurieren einer oder mehrerer erweiterter TCP-Verbindungseinstellungen gesteuert oder geändert werden. Der Cisco ACE entscheidet anhand dieser TCP-Verbindungseinstellungen, welche Prüfungen durchgeführt werden und ob ein TCP-Segment aufgrund der Prüfergebnisse verworfen werden soll. Cisco ACE verwirft Segmente, die anormal oder fehlerhaft zu sein scheinen.
  
  Die TCP-Normalisierung ist standardmäßig aktiviert und verwirft Pakete, die möglicherweise CVE-2015-0639 ausnutzen. Der Schutz vor Paketen, die diese Schwachstelle ausnutzen, ist eine nicht konfigurierbare TCP-Normalisierungsaktion. Zum Aktivieren dieser Funktion sind keine Konfigurationsänderungen erforderlich.
  
  Weitere Informationen zur TCP-Normalisierung finden Sie im Abschnitt Configuring TCP/IP Normalization and IP Reassembly Parameters (Konfigurieren von TCP/IP-Normalisierungs- und IP-Reassemblierungsparametern) im Security Guide vA5(1.0), Cisco ACE Application Control Engine.
  
  

  Cisco Intrusion Prevention System

  Risikominderung: Cisco IPS-Signaturtabelle

  Administratoren können die Cisco IPS-Appliances und -Servicemodule verwenden, um Bedrohungen zu erkennen und Versuche zur Ausnutzung einiger der in diesem Dokument beschriebenen Schwachstellen zu verhindern. Die folgende Tabelle bietet einen Überblick über CVE-IDs und die jeweiligen Cisco IPS-Signaturen, die Ereignisse auslösen, wenn diese Schwachstelle ausgenutzt werden soll.
  
  

  CVE-ID	Signaturfreigabe	Signature-ID	Signaturname	Aktiviert	Schweregrad	Genauigkeit*
  CVE-2015-0644	S858	5094/0	Cisco IOS XE Software Denial of Service (DoS)	Ja	Mittel	85

  
  
  * Fidelity wird auch als Signature Fidelity Rating (SFR) bezeichnet und ist das relative Maß für die Genauigkeit der Signatur (vordefiniert). Der Wert reicht von 0 bis 100 und wird von Cisco Systems, Inc. festgelegt.
  
  Administratoren können Cisco IPS-Sensoren so konfigurieren, dass sie eine Ereignisaktion ausführen, wenn ein Angriff erkannt wird. Die konfigurierte Ereignisaktion führt eine präventive oder abschreckende Kontrolle durch, um den Schutz vor einem Angriff zu gewährleisten, der versucht, die in der vorherigen Tabelle aufgeführten Schwachstellen auszunutzen.
  
  Exploits, die gefälschte IP-Adressen verwenden, können dazu führen, dass eine konfigurierte Ereignisaktion versehentlich den Datenverkehr von vertrauenswürdigen Quellen blockiert.
  
  Cisco IPS-Sensoren sind am effektivsten, wenn sie im Inline-Schutzmodus in Verbindung mit einer Ereignisaktion bereitgestellt werden. Der automatische Schutz vor Bedrohungen für Cisco IPS 7.x- und 6.x-Sensoren, die im Inline-Schutzmodus bereitgestellt werden, bietet Schutz vor Bedrohungen bei einem Angriff, der versucht, die in diesem Dokument beschriebene Schwachstelle auszunutzen. Der Schutz vor Bedrohungen wird durch eine Standardüberschreibung erreicht, die eine Ereignisaktion für ausgelöste Signaturen mit einem riskRatingValue größer als 90 ausführt.
  
  Weitere Informationen zur Berechnung von Risikoeinstufung und Bedrohungseinstufung finden Sie unter Risikoeinstufung und Bedrohungseinstufung: Vereinfachtes IPS-Richtlinienmanagement.
  
  Informationen zur Verwendung von Cisco Security Manager zum Anzeigen der Aktivität von einem Cisco IPS-Sensor finden Sie im Whitepaper Identification of Malicious Traffic Using Cisco Security Manager.
  

Zusätzliche Informationen

• Dieses Dokument wird in der vorliegenden Form bereitgestellt und impliziert keine Garantie oder Gewährleistung, einschließlich der Gewährleistung der Marktgängigkeit oder Eignung für einen bestimmten Zweck. Die Nutzung der Informationen im Dokument oder den Materialien, die mit dem Dokument verknüpft sind, erfolgt auf Ihr eigenes Risiko. Cisco behält sich das Recht vor, dieses Dokument jederzeit zu ändern oder zu aktualisieren.

Revisionsverlauf

• Version	Beschreibung	Abschnitt	Datum
  1	Erstveröffentlichung		25. März 2015, 16:01 Uhr GMT

  Weniger anzeigen

Cisco Sicherheitsverfahren

• Vollständige Informationen zur Meldung von Sicherheitslücken in Cisco Produkten, zum Erhalt von Unterstützung bei Sicherheitsvorfällen und zur Registrierung für den Erhalt von Sicherheitsinformationen von Cisco finden Sie auf der weltweiten Cisco Website unter https://sec.cloudapps.cisco.com/security/center/resources/security_vulnerability_policy.html. Dies beinhaltet Anweisungen für Presseanfragen bezüglich der Sicherheitshinweise von Cisco. Alle Cisco Sicherheitsankündigungen finden Sie unter http://www.cisco.com/go/psirt.

Zugehörige Informationen

• • Cisco Applied Mitigation Bulletins
  • Cisco Security-Portal
  • Cisco Security IntelliShield Alert Manager Service
  • Cisco Leitfaden zum Absichern von Cisco IOS-Geräten
  • Erkennung von und Beseitigung von TTL-Ablaufangriffen
  • Firewall-Design- und Anwendungsleitfaden für zonenbasierte Richtlinien
  • Cisco Firewall-Produkte - Startseite auf Cisco.com
  • Cisco Catalyst ASA Services Module der Serie 6500
  • Cisco Serie 5500-X
  • Cisco ACE Application Control Engine Module - Dokumentation
  • Verbesserungen der Unicast Reverse Path Forwarding für den Internet Service Provider
  • Cisco Intrusion Prevention System
  • Sourcefire Security der nächsten Generation
  • Seite für die Suche nach Cisco IPS-Signaturen
  • Common Vulnerabilities and Exposures (CVE)
  • Cisco Applied Mitigation Bulletins abonnieren

Betroffene Produkte

• Die Sicherheitslücke betrifft die folgenden Produktkombinationen.
  
  

  Primäre Produkte
  Cisco	Cisco IOS XE-Software	3,1 S (3.1.0S, 3.1.1S, 3.1.2S, 3.1.3S, 3.1.4S, 3.1.5S, 3.1.6S) | 3,2 S (3.2.0S, 3.2.1S, 3.2.2S, 3.2.3S) | 3,3 S (3,3 S, 3,3 S, 3,3 S) | 3,4 S (3.4.0S, 3.4.1S, 3.4.2S, 3.4.3S, 3.4.4S, 3.4.5S, 3.4.6S) | 3,5 S (Basis, 3,5 S, 3,5 S, 3,5 S) | 3,6 S (Basis, 3,6 S, 3,6 S, 3,6 S) | 3,7S (Basis, 3.7.0S, 3.7.1S, 3.7.2S, 3.7.3S, 3.7.4S, 3.7.5S, 3.7.6S, 3.7.7S) | 3,8 S (Basis, 3,8 S, 3,8 S) | 3,9 S (3,9 S, 3,9 S) | 3,10 s (3,10 aS)

  
  
  

  Zugehörige Produkte