-
Microsoft ha annunciato otto bollettini sulla sicurezza che affrontano otto vulnerabilità come parte del bollettino mensile sulla sicurezza il 13 gennaio 2015. Un riepilogo di questi bollettini è disponibile sul sito Web Microsoft all'indirizzo http://technet.microsoft.com/en-us/security/bulletin/ms15-jan. Questo documento fornisce le tecniche di identificazione e mitigazione che gli amministratori possono distribuire sui dispositivi di rete Cisco.
Le vulnerabilità che hanno un vettore di attacco software client, o possono essere sfruttate localmente sul dispositivo vulnerabile, o richiedono l'interazione dell'utente, o possono essere sfruttate utilizzando attacchi basati sul Web (questi includono, ma non sono limitati a, attacchi di script da altri siti, phishing e minacce di posta elettronica basate sul Web) o allegati di posta elettronica o file archiviati in condivisioni di rete] sono elencate di seguito:
Di seguito sono elencate le vulnerabilità che presentano un'attenuazione dei problemi di rete, inclusi i problemi relativi alla protezione del Web e dell'e-mail. I dispositivi Cisco forniscono diverse contromisure per le vulnerabilità che hanno un vettore di attacco alla rete, che verranno discusse in dettaglio più avanti in questo documento.
Le informazioni sui prodotti interessati e non interessati sono disponibili nei rispettivi avvisi Microsoft e negli avvisi Cisco a cui si fa riferimento in Cisco Event Response: Microsoft Security Bulletin Release per gennaio 2015.
Inoltre, diversi prodotti Cisco utilizzano i sistemi operativi Microsoft come sistema operativo di base. I prodotti Cisco che possono essere interessati dalle vulnerabilità descritte negli avvisi Microsoft a cui si fa riferimento sono descritti in dettaglio nella tabella "Prodotti associati" della sezione "Set di prodotti".
-
MS15-002, Vulnerabilità nel servizio Telnet di Windows Potrebbe consentire l'esecuzione di codice remoto (3020393): a questa vulnerabilità è stato assegnato l'identificatore CVE (Common Vulnerabilities and Exposures) CVE-2015-0014. Questa vulnerabilità può essere sfruttata in remoto senza autenticazione e senza interazione dell'utente.
L'utilizzo efficace della vulnerabilità può consentire l'esecuzione arbitraria del codice. Il vettore di attacco per lo sfruttamento è attraverso pacchetti Telnet creati utilizzando la porta TCP 23.
MS15-005, Vulnerabilità in NLA potrebbe consentire funzionalità di sicurezza bypass (3022777): a questa vulnerabilità è stato assegnato l'identificatore Common Vulnerabilities and Exposures (CVE) CVE-2015-0006. Questa vulnerabilità può essere sfruttata in remoto senza autenticazione e senza interazione dell'utente.
Se la vulnerabilità viene sfruttata con successo, è possibile che la funzionalità di protezione venga ignorata. Il vettore di attacco per l'utilizzo è attraverso il traffico di ritorno DNS e LDAP creato utilizzando rispettivamente la porta UDP 53 e le porte TCP e UDP 389. Un utente non autorizzato potrebbe sfruttare questa vulnerabilità utilizzando pacchetti di spoofing.
-
Informazioni sul software vulnerabile, non interessato e fisso sono disponibili nel Microsoft Security Bulletin Summary per gennaio 2015, disponibile al seguente link: http://technet.microsoft.com/library/security/ms15-jan
-
Le vulnerabilità che hanno un vettore di attacco software client, o possono essere sfruttate localmente sul dispositivo vulnerabile, o richiedono l'interazione dell'utente, o possono essere sfruttate utilizzando attacchi basati sul web (questi includono, tra l'altro, attacchi di tipo cross-site scripting, phishing e minacce di posta elettronica basate sul web) o allegati di posta elettronica o file archiviati in condivisioni di rete sono elencati di seguito:
Queste vulnerabilità vengono risolte in modo più efficace all'endpoint tramite aggiornamenti software, formazione degli utenti, best practice per l'amministrazione dei desktop e software di protezione degli endpoint, ad esempio Host Intrusion Prevention Systems (HIPS) o prodotti antivirus.
Di seguito sono elencate le vulnerabilità che presentano un'attenuazione dei problemi di rete, inclusi i problemi relativi alla protezione del Web e dell'e-mail. I dispositivi Cisco forniscono diverse contromisure per queste vulnerabilità. In questa sezione del documento viene fornita una panoramica di queste tecniche.
Il software Cisco IOS può fornire mezzi efficaci di prevenzione degli attacchi e di identificazione degli stessi utilizzando i seguenti metodi:
- Access Control List (tACL) transit
- uRPF (Unicast Reverse Path Forwarding)
- IPSG (IP Source Guard)
Questi meccanismi di protezione filtrano ed eliminano, oltre a verificare l'indirizzo IP di origine, i pacchetti che stanno tentando di sfruttare le vulnerabilità che hanno un vettore di attacco di rete.
L'installazione e la configurazione corrette di uRPF offrono un mezzo efficace di protezione dagli attacchi che utilizzano pacchetti con indirizzi IP di origine oggetto di spoofing. È consigliabile distribuire RPF unicast il più vicino possibile a tutte le origini di traffico.
L'implementazione e la configurazione corrette di IPSG forniscono un mezzo efficace di protezione dai pacchetti di spoofing a livello di accesso.
Poiché esiste la possibilità che un client di rete attendibile venga danneggiato da codice dannoso che non utilizza pacchetti con indirizzi di origine oggetto di spoofing, uRPF e IPSG non forniscono una protezione completa da queste vulnerabilità.
Mezzi efficaci per la prevenzione degli attacchi e l'identificazione degli attacchi possono essere forniti anche da Cisco ASA serie 5500 e 5500-X Adaptive Security Appliance, Cisco Catalyst serie 6500 ASA Services Module (ASASM) e Firewall Services Module (FWSM) per gli switch Cisco Catalyst serie 6500 e i router Cisco serie 7600 usando i seguenti metodi:
- tACL
- uRPF
Questi meccanismi di protezione filtrano ed eliminano, oltre a verificare l'indirizzo IP di origine, i pacchetti che stanno tentando di sfruttare le vulnerabilità che hanno un vettore di attacco di rete.
I record Cisco IOS NetFlow e Flexible NetFlow possono fornire visibilità sui tentativi di sfruttamento basati sulla rete.
L'uso efficace delle azioni di eventi IPS (Sourcefire Intrusion Prevention System) fornisce visibilità e protezione contro gli attacchi che tentano di sfruttare queste vulnerabilità.
L'uso efficace delle azioni evento di Cisco Intrusion Prevention System (IPS) offre visibilità e protezione dagli attacchi che tentano di sfruttare queste vulnerabilità.
-
Le organizzazioni sono invitate a seguire i processi standard di valutazione e mitigazione dei rischi per determinare l'impatto potenziale di queste vulnerabilità. Triage si riferisce all'ordinamento dei progetti e all'assegnazione delle priorità agli sforzi che hanno maggiori probabilità di avere successo. Cisco ha fornito documenti che possono aiutare le organizzazioni a sviluppare una funzionalità di triage basata sui rischi per i team addetti alla sicurezza delle informazioni. Valutazione dei rischi per la vulnerabilità della sicurezza Gli annunci e la valutazione dei rischi e la creazione di prototipi possono aiutare le organizzazioni a sviluppare processi ripetibili di valutazione della sicurezza e di risposta.
-
Attenzione: l'efficacia di qualsiasi tecnica di mitigazione dipende dalle situazioni specifiche del cliente, come il mix di prodotti, la topologia di rete, il comportamento del traffico e la missione organizzativa. Come per qualsiasi modifica apportata alla configurazione, valutare l'impatto della configurazione prima di applicare la modifica.
Per questi dispositivi sono disponibili informazioni specifiche sulla mitigazione e l'identificazione:
- Router e switch Cisco IOS
- Cisco ASA, Cisco ASASM e Cisco FWSM Firewall
- Cisco Intrusion Prevention System
- Sourcefire Intrusion Prevention System
Router e switch Cisco IOS
Attenuazione: Access Control List transit
Per MS15-002, per proteggere la rete dal traffico che entra nella rete in corrispondenza dei punti di accesso in entrata, che possono includere punti di connessione Internet, punti di connessione fornitori e partner o punti di connessione VPN, si consiglia agli amministratori di distribuire elenchi di controllo di accesso (ACL) di transito per l'applicazione delle policy. Gli amministratori possono costruire un ACL autorizzando esplicitamente solo il traffico autorizzato ad accedere alla rete dai punti di accesso in entrata o autorizzando il traffico autorizzato a transitare sulla rete in base alle configurazioni e ai criteri di sicurezza esistenti. Una soluzione ACL non può fornire una protezione completa da queste vulnerabilità quando l'attacco ha origine da un indirizzo di origine attendibile.
Il criterio ACL nega i pacchetti Telnet over IPv4 e IPv6 non autorizzati sulla porta TCP 23 inviati ai dispositivi interessati. Nell'esempio seguente, 192.168.60.0/24 e 2001:DB8:1:60::/64 rappresentano lo spazio di indirizzi IP utilizzato dai dispositivi interessati e gli host in modalità 192.168.100.1 e 2001:DB8::100:1 sono considerati fonti attendibili che richiedono l'accesso ai dispositivi interessati. È necessario prestare attenzione a consentire il traffico richiesto per il routing e l'accesso amministrativo prima di rifiutare tutto il traffico non autorizzato.
Ulteriori informazioni sugli ACL sono disponibili in Access Control Lists: Filtering at Your Edge (Liste di controllo dell'accesso in transito: filtraggio sul perimetro della rete).
!-- Include explicit permit statements for trusted sources that !-- require access on the vulnerable Telnet TCP port !-- for MS15-002 ! access-list 150 permit tcp host 192.168.100.1 192.168.60.0 0.0.0.255 eq 23 ! !-- The following vulnerability-specific access control entries !-- (ACEs) can aid in identification of attacks against MS15-002 ! access-list 150 deny tcp any 192.168.60.0 0.0.0.255 eq 23 ! !-- Permit or deny all other Layer 3 and Layer 4 traffic in accordance !-- with existing security policies and configurations ! !-- Explicit deny for all other IP traffic ! access-list 150 deny ip any any ! !-- Create the corresponding IPv6 tACL ! ipv6 access-list IPv6-Transit-ACL-Policy ! !-- Include explicit permit statements for trusted sources that !-- require access on the vulnerable Telnet TCP port !-- for MS15-002 ! ! permit tcp host 2001:DB8::100:1 2001:DB8:1:60::/64 eq 23 ! !-- The following vulnerability-specific ACEs can !-- aid in identification of attacks to global and !-- link-local addresses ! deny tcp any 2001:DB8:1:60::/64 eq 23 ! !-- Permit or deny all other Layer 3 and Layer 4 traffic in !-- accordance with existing security policies and configurations !-- and allow IPv6 neighbor discovery packets, which !-- include neighbor solicitation packets and neighbor !-- advertisement packets ! permit icmp any any nd-ns permit icmp any any nd-na !
!-- Explicit deny for all other IPv6 traffic !
deny ipv6 any any ! ! !-- Apply tACLs to interfaces in the ingress direction ! interface GigabitEthernet0/0 ip access-group 150 in ipv6 traffic-filter IPv6-Transit-ACL-Policy inL'applicazione di un filtro con un elenco degli accessi all'interfaccia determinerà la trasmissione di messaggi ICMP "destinazione irraggiungibile" alla sorgente del traffico filtrato. La generazione di questi messaggi potrebbe avere l'effetto indesiderato di aumentare l'utilizzo della CPU sul dispositivo. Per impostazione predefinita, nel software Cisco IOS la generazione di pacchetti ICMP "destinazione irraggiungibile" è limitata a un pacchetto ogni 500 millisecondi. La generazione di messaggi ICMP "destinazione irraggiungibile" può essere disabilitata utilizzando i comandi di configurazione dell'interfaccia no ip unreachables e no ipv6 unreachables. La limitazione della velocità non raggiungibile ICMP può essere modificata rispetto all'impostazione predefinita utilizzando i comandi di configurazione globaleip icmp rate-limit unreachable interval-in-ms e intervallo di errore icmp ipv6 in ms.
Per informazioni su come usare l'interfaccia della riga di comando IOS per misurare l'efficacia dell'ACL, consultare il white paper Cisco sulla sicurezza Identifying the Effective of Security Mitigations Using Cisco IOS Software.
Attenuazione: protezione da spoofing
Inoltro percorso inverso unicast
MS15-005 descritto in questo documento ha un vettore di attacco alla rete che può essere sfruttato da pacchetti IP oggetto di spoofing. Gli amministratori possono distribuire e configurare Unicast Reverse Path Forwarding (uRPF) come meccanismo di protezione contro lo spoofing.
uRPF è configurato a livello di interfaccia ed è in grado di rilevare ed eliminare pacchetti che non dispongono di un indirizzo IP di origine verificabile. Gli amministratori non devono affidarsi a uRPF per fornire una protezione completa dallo spoofing, in quanto i pacchetti oggetto di spoofing possono entrare nella rete tramite un'interfaccia abilitata a uRPF se esiste una route di ritorno appropriata all'indirizzo IP di origine. Si consiglia agli amministratori di assicurarsi che durante la distribuzione di questa funzionalità sia configurata la modalità uRPF appropriata (libera o rigida), in quanto può bloccare il traffico legittimo che attraversa la rete. In un ambiente aziendale, è possibile abilitare uRPF sul perimetro Internet e sul livello di accesso interno sulle interfacce di layer 3 supportate dall'utente.
Per ulteriori informazioni sulla configurazione e l'utilizzo di uRPF, consultare il white paper Understanding Unicast Reverse Path Forwarding (Informazioni sull'inoltro del percorso inverso Unicast) in Cisco Security.
Protezione origine IP
IPSG (IP Source Guard) è una funzione di sicurezza che limita il traffico IP su interfacce di livello 2 non instradate filtrando i pacchetti in base al database di binding dello snooping DHCP e ai binding di origine IP configurati manualmente. Gli amministratori possono utilizzare il protocollo IPSG per prevenire gli attacchi degli utenti non autorizzati che tentano di falsificare i pacchetti falsificando l'indirizzo IP di origine e/o l'indirizzo MAC. L'installazione e la configurazione corrette di IPSG, abbinate a uRPF in modalità rigorosa, possono fornire i mezzi più efficaci di protezione dallo spoofing per ridurre il rischio di MS15-005.
Per ulteriori informazioni sulla distribuzione e la configurazione di IPSG, consultare il documento sulla configurazione delle funzionalità DHCP e di IP Source Guard.
Identificazione: Identificazione del flusso di traffico IPv4 e IPv6 tramite Cisco IOS NetFlow e Flexible NetFlow
Gli amministratori possono configurare Cisco IOS NetFlow e Cisco IOS Flexible NetFlow sui router e sugli switch Cisco IOS per facilitare l'identificazione dei flussi di traffico IPv4 e IPv6 che potrebbero essere tentativi di sfruttare e ridurre i rischi associati a MS15-002. Si consiglia agli amministratori di analizzare i flussi per determinare se si tratta di tentativi di sfruttare queste vulnerabilità o se si tratta di flussi di traffico legittimi. Gli amministratori possono anche configurare filtri per evidenziare il traffico su singole porte e identificare i flussi di traffico che potrebbero essere tentativi di sfruttare le vulnerabilità menzionate in questo documento. Per ulteriori informazioni, vedere la sezione Cisco IOS NetFlow e Cisco IOS Flexible NetFlow nel documento Identification the Effective of Security Mitigations Using Cisco IOS Software.
Cisco ASA, Cisco ASASM e Cisco FWSM Firewall
Attenuazione: Access Control List transit
Per MS15-002, per proteggere la rete dal traffico che entra nella rete in corrispondenza dei punti di accesso in entrata, che possono includere punti di connessione Internet, punti di connessione fornitori e partner o punti di connessione VPN, si consiglia agli amministratori di distribuire gli ACL per applicare la policy. Gli amministratori possono costruire un ACL autorizzando esplicitamente solo il traffico autorizzato ad accedere alla rete dai punti di accesso in entrata o autorizzando il traffico autorizzato a transitare sulla rete in base alle configurazioni e ai criteri di sicurezza esistenti. Una soluzione ACL non può fornire una protezione completa da queste vulnerabilità quando l'attacco ha origine da un indirizzo di origine attendibile.
Il criterio ACL nega i pacchetti Telnet over IPv4 e IPv6 non autorizzati sulla porta TCP 23 inviati ai dispositivi interessati. Nell'esempio seguente, 192.168.60.0/24 e 2001:DB8:1:60::/64 è lo spazio di indirizzi IP utilizzato dai dispositivi interessati e gli host in modalità 192.168.100.1 e 2001:DB8:100:1 sono considerati fonti attendibili che richiedono l'accesso ai dispositivi interessati. È necessario prestare attenzione a consentire il traffico richiesto per il routing e l'accesso amministrativo prima di rifiutare tutto il traffico non autorizzato.
Per ulteriori informazioni sugli ACL, consultare il documento Access Control Lists: Filtering at Your Edge (Liste di controllo dell'accesso in transito: filtraggio sul perimetro della rete).
! !-- Include explicit permit statements for trusted sources that !-- require access on the vulnerable Telnet TCP port !-- for MS15-002 ! access-list tACL-Policy extended permit tcp host 192.168.100.1 192.168.60.0 255.255.255.0 eq 23 ! !-- The following vulnerability-specific ACEs !-- can aid in identification of attacks ! access-list tACL-Policy extended deny tcp any 192.168.60.0 255.255.255.0 eq 23 ! !-- Permit or deny all other Layer 3 and Layer 4 traffic in accordance !-- with existing security policies and configurations ! !-- Explicit deny for all other IP traffic ! access-list tACL-Policy extended deny ip any any ! !-- Create the corresponding IPv6 tACL ! !-- Include explicit permit statements for trusted sources that !-- require access on the vulnerable Telnet TCP ports !-- for MS15-002 ! ipv6 access-list IPv6-tACL-Policy permit tcp host 2001:DB8::100:1 2001:db8:1:60::/64 eq 23 ! !-- The following vulnerability-specific access control entries !-- (ACEs) can aid in identification of attacks ! ipv6 access-list IPv6-tACL-Policy deny tcp any 2001:db8:1:60::/64 eq 23 ! !-- Permit or deny all other Layer 3 and Layer 4 traffic in accordance !-- with existing security policies and configurations ! !-- Explicit deny for all other IP traffic ! ipv6 access-list IPv6-tACL-Policy deny ip any any ! !-- Apply tACLs to interfaces in the ingress direction ! access-group tACL-Policy in interface outside access-group IPv6-tACL-Policy in interface outside
Per informazioni sull'uso dell'interfaccia della riga di comando di Cisco Firewall per misurare l'efficacia degli elenchi di controllo di accesso in transito, fare riferimento al white paper Cisco Security Identification of Security Exploits with Cisco ASA, Cisco ASASM e Cisco FWSM Firewall.
A partire dal software Cisco Adaptive Security Appliance (ASA) versione 9.0, gli Access Control List (ACL), in particolare gli ACL unificati, supportano gli indirizzi IPv4 e IPv6. È possibile specificare una combinazione di indirizzi IPv4 e IPv6 per l'origine e la destinazione dell'ACL. Le parole chiave any4 e any6 sono state aggiunte per rappresentare rispettivamente il traffico solo IPv4 e il traffico solo IPv6.
Le voci dell'elenco degli accessi IPv4 e IPv6 (ACE) presentate negli ACL IPv4 e IPv6 di questa sezione possono essere incorporate anche in un ACL unificato.
Per ulteriori informazioni sugli ACL unificati, consultare la sezione Extended Access Control Lists della guida alla configurazione di Cisco ASA.
A partire dal software Cisco ASA versione 8.4(2), le regole di accesso e i criteri di sicurezza possono essere configurati in base ai nomi degli utenti e dei gruppi di utenti anziché agli indirizzi IP di origine. L'appliance ASA applica i criteri di sicurezza basati su un'associazione di indirizzi IP alle informazioni di accesso di Windows Active Directory e segnala gli eventi in base ai nomi utente mappati anziché agli indirizzi IP di rete. IDFW (Identity Firewall) si integra con Microsoft Active Directory insieme a un agente Active Directory (AD) esterno (in Windows Server) o a un agente di directory di contesto (CDA) che fornisce i mapping di identità effettivi. Gli ACL basati sull'identità possono essere utilizzati anche per altri tipi di policy, ad esempio l'ispezione delle applicazioni.
A partire dal software Cisco ASA versione 9.0, l'ASA si integra anche con Cisco TrustSec per fornire l'applicazione delle policy basate sui gruppi di sicurezza. I criteri di accesso nel dominio Cisco TrustSec sono indipendenti dalla topologia e si basano sui ruoli dei dispositivi di origine e di destinazione piuttosto che sugli indirizzi IP della rete. Gli ACL Cisco TrustSec possono essere utilizzati anche per altri tipi di criteri, ad esempio l'ispezione delle applicazioni.
Gli ACE presentati negli ACL IPv4 e IPv6 di questa sezione possono essere applicati anche a livello di singolo utente, gruppo di utenti o gruppo di sicurezza, usando ACL basati su ID o SGT (Security Group Tag).
Per gli esempi di configurazione su IDFW, consultare il documento relativo alla configurazione dettagliata di ASA: IDFW (Identity Firewall) nella Cisco Support Community e la sezione Identity Firewall della guida alla configurazione di Cisco ASA. Per ulteriori informazioni sugli agenti esterni, vedere Cenni preliminari sugli agenti di Active Directory e Cenni preliminari sugli agenti di directory contesto. Per ulteriori informazioni sull'integrazione di Cisco ASA con TrustSec, consultare la sezione ASA and Cisco TrustSec della guida alla configurazione di Cisco ASA.
Attenuazione: protezione da spoofing con inoltro percorso inverso unicast
Per MS15-005, le vulnerabilità descritte in questo documento possono essere sfruttate da pacchetti IP oggetto di spoofing. Gli amministratori possono installare e configurare uRPF come meccanismo di protezione contro lo spoofing.
uRPF è configurato a livello di interfaccia ed è in grado di rilevare ed eliminare pacchetti che non dispongono di un indirizzo IP di origine verificabile. Gli amministratori non devono affidarsi a uRPF per fornire una protezione completa dallo spoofing, in quanto i pacchetti oggetto di spoofing possono entrare nella rete tramite un'interfaccia abilitata a uRPF se esiste una route di ritorno appropriata all'indirizzo IP di origine. In un ambiente aziendale, è possibile abilitare uRPF sul perimetro Internet e sul livello di accesso interno sulle interfacce di layer 3 supportate dall'utente.
Per ulteriori informazioni sulla configurazione e l'utilizzo di uRPF, consultare la guida di riferimento dei comandi di Cisco Security Appliance per ip verify reverse-path e il white paper Understanding Unicast Reverse Path Forwarding Cisco Security.
Per informazioni su come utilizzare l'interfaccia della riga di comando del firewall per misurare l'efficacia della protezione dallo spoofing, fare riferimento al white paper Cisco Security Identification of Security Exploits with Cisco ASA, Cisco ASASM e Cisco FWSM Firewall.
Cisco Intrusion Prevention System
Attenuazione: azioni evento firma Cisco IPS
Gli amministratori possono utilizzare gli accessori e i moduli servizi IPS Cisco per rilevare le minacce e contribuire a prevenire i tentativi di sfruttare alcune delle vulnerabilità descritte più avanti nel documento. Nella tabella seguente viene fornita una panoramica degli identificatori CVE e delle rispettive firme IPS Cisco che attiveranno eventi su potenziali tentativi di sfruttare queste vulnerabilità.
ID CVE Release della firma Signature ID Nome firma Attivato Gravità Fedeltà* CVE-2015-0014 S844 4949/0 Overflow Del Buffer Del Servizio Telnet Windows Sì Alta 85 CVE-2015-0015 S844 4957/0 Negazione del servizio di elaborazione dell'autenticazione RADIUS di Microsoft Windows Sì Media 80 CVE-2015-0016 S844 4952/0 Elevazione privilegi componenti di Windows Sì Media 85 * Fidelity è anche noto come Signature Fidelity Rating (SFR) ed è la misura relativa della precisione della firma (predefinito). Il valore è compreso tra 0 e 100 ed è impostato da Cisco Systems, Inc.
Gli amministratori possono configurare i sensori Cisco IPS in modo da eseguire un'azione evento quando viene rilevato un attacco. L'azione evento configurata esegue controlli preventivi o deterrenti per contribuire alla protezione da un attacco che tenta di sfruttare le vulnerabilità elencate nella tabella precedente.
Gli attacchi che utilizzano indirizzi IP oggetto di spoofing possono causare un'azione evento configurata per negare inavvertitamente il traffico proveniente da fonti attendibili.
I sensori Cisco IPS sono più efficaci se installati in modalità di protezione inline combinata con l'uso di un'azione evento. La funzione di prevenzione automatica delle minacce per i sensori Cisco IPS 7.x e 6.x implementati in modalità di protezione inline fornisce una prevenzione delle minacce contro gli attacchi che tentano di sfruttare la vulnerabilità descritta in questo documento. La prevenzione delle minacce viene ottenuta tramite un override predefinito che esegue un'azione evento per le firme attivate con un valore riskRatingValue maggiore di 90.
Per ulteriori informazioni sul calcolo del rating di rischio e della minaccia, fare riferimento a Rating di rischio e Rating di minaccia: Semplificare la gestione delle policy IPS.
Per informazioni sull'utilizzo di Cisco Security Manager per visualizzare l'attività da un sensore Cisco IPS, vedere il white paper Identificazione del traffico dannoso con Cisco Security Manager.
Informazioni sulla firma Sourcefire
Le seguenti firme Sourcefire Snort sono disponibili per l'aggiornamento della protezione di Microsoft gennaio 2015.
ID advisory Microsoft Nome advisory Microsoft CVE Regole applicabili MS15-001 La vulnerabilità in Windows AppCompatCache potrebbe consentire l'elevazione dei privilegi CVE-2015-0002 32965:32966 MS15-002 La vulnerabilità del servizio Telnet di Windows potrebbe causare l'esecuzione di codice remoto CVE-2015-0014 33050 MS15-004 La vulnerabilità del servizio profili utente di Windows potrebbe consentire l'elevazione dei privilegi CVE-2015-0016 33051:33052 MS15-007 La vulnerabilità in RADIUS di Server dei criteri di rete potrebbe causare la negazione del servizio CVE-2015-0015 33053 MS15-08 Le vulnerabilità dei driver in modalità kernel di Windows potrebbero consentire l'elevazione dei privilegi CVE-2015-0011 33048:33049 Per informazioni sull'utilizzo di Sourcefire Snort e Sourcefire Next-Generation IPS, fare riferimento a Sourcefire Next-Generation Security.
-
IL PRESENTE DOCUMENTO VIENE FORNITO "COSÌ COM'È" E NON IMPLICA ALCUNA GARANZIA O CONCESSIONE, INCLUSE LE GARANZIA DI COMMERCIABILITÀ O IDONEITÀ PER UNO SCOPO SPECIFICO. L'UTILIZZO DA PARTE DELL'UTENTE DELLE INFORMAZIONI CONTENUTE NEL DOCUMENTO O NEI MATERIALI ACCESSIBILI DAL DOCUMENTO AVVIENE A PROPRIO RISCHIO. CISCO SI RISERVA IL DIRITTO DI MODIFICARE O AGGIORNARE IL PRESENTE DOCUMENTO IN QUALSIASI MOMENTO.
-
Version Descrizione Sezione Data 1 Release iniziale 2015-Gennaio-13 18:49
-
Le informazioni complete sulla segnalazione delle vulnerabilità della sicurezza nei prodotti Cisco, su come ottenere assistenza in caso di incidenti relativi alla sicurezza e su come registrarsi per ricevere informazioni sulla sicurezza da Cisco sono disponibili all'indirizzo Cisco.com https://sec.cloudapps.cisco.com/security/center/resources/security_vulnerability_policy.html. Questa pagina Web include istruzioni per le richieste della stampa relative ai consigli sulla sicurezza di Cisco. Tutti i consigli sulla sicurezza di Cisco sono disponibili all'indirizzo http://www.cisco.com/go/psirt.
-
La vulnerabilità della sicurezza si applica alle seguenti combinazioni di prodotti.
Prodotti principali Microsoft, Inc. Windows 7 per sistemi a 32 bit (SP1) | per sistemi x64 (SP1) Windows 8 per sistemi a 32 bit (base) | per sistemi x64 (base) Windows 8.1 per sistemi a 32 bit (base) | per sistemi x64 (base) Windows RT Versione originale (base) | 8.1 (Base) Windows Server 2003 Datacenter Edition (SP2) | Datacenter Edition, 64 bit (Itanium) (SP2) | Datacenter Edition x64 (AMD/EM64T) (SP2) | Edizione Enterprise (SP2) | Enterprise Edition, 64 bit (Itanium) (SP2) | Enterprise Edition x64 (AMD/EM64T) (SP2) | Standard Edition (SP2) | Standard Edition, 64 bit (Itanium) (SP2) | Standard Edition x64 (AMD/EM64T) (SP2) | Edizione Web (SP2) Windows Server 2008 Datacenter Edition (SP2) | Datacenter Edition, 64 bit (SP2) | Itanium-Based Systems Edition (SP2) | Edizione Enterprise (SP2) | Enterprise Edition, 64 bit (SP2) | Essential Business Server Standard (SP2) | Essential Business Server Premium (SP2) | Essential Business Server Premium, 64 bit (SP2) | Standard Edition (SP2) | Standard Edition, 64 bit (SP2) Server Web | (SP2) | Server Web, 64 bit (SP2) Windows Server 2008 R2 x64-Based Systems Edition (SP1) | Itanium-Based Systems Edition (SP1) Windows Server 2012 Versione originale (base) Windows Server 2012 R2 Versione originale (base) Windows Vista Home Basic (SP2) | Home Premium (SP2) | Imprese (SP2) | Imprese (SP2) | Ultimate (SP2) | Home Basic x64 Edition (SP2) | Home Premium x64 Edition (SP2) | Business x64 Edition (SP2) | Enterprise x64 Edition (SP2) | Ultimate x64 Edition (SP2)
Prodotti associati Cisco Cisco Broadband Troubleshooter Versione originale (base) | 3.1 (Base) | 3.2 (Base) Cisco Building Broadband Service Manager (BBSM) Versione originale (base) | 2,5 (.1) | 3,0 (base) | 4,0 (base, 0,1) | 4.2 (Base) | 4.3 (Base) | 4.4 (Base) | 4.5 (Base) | 5,0 (base) | 5.1 (Base) | 5.2 (Base) Cisco CNS Network Registrar 2,5 (base) | 3,0 (base) | 3.5 (Base, 0,1) | 5,0 (base) | 5.5 (Base, 0,13) | 6.0 (.5, .5.2, .5.3, .5.4) | 6.1 (Base, 0,1,1, 0,1,2, 1,3, 1,4) Cisco Collaboration Server Dynamic Content Adapter (DCA) Versione originale (base) | 1,0 (base) | 2.0 (Base, (1)_SR2) Opzione Cisco Computer Telephony Integration (CTI) 4.7 ((0)_SR1, (0)_SR2, (0)_SR3, (0)_SR4) | 5.1 ((0)_SR1, (0)_SR2, (0)_SR3) | 6.0 ((0)_SR1, (0)_SR2, (0)_SR3, (0)_SR4, (0)_SR5) | 7.0 ((0)_SR1, (0)_SR2) | 7.1 (2, 3, 4, 5) Cisco Conference Connection 1.1 (3), (3)spA) | 1.2 (Base, (1), (2), (2)SR1, (2)SR2) Cisco E-mail Manager Versione originale (base) | 4.0 (Base, .5i, .6) | 5.0 (Base, (0)_SR1, (0)_SR3, (0)_SR4, (0)_SR5, (0)_SR6, (0)_SR7) Cisco Emergency Responder 1.1 (Base, (3), (4)) | 1.2 (Base, (1), (1)SR1, (2), (2)sr1, (3)a, (3)SR1, (3a)SR2) | 1.3 (Base, punti 1 bis e 2) Cisco Intelligent Contact Manager (ICM) Versione originale (base) | 4.6 ((2)_SR1, (2)_SR2, (2)_SR3, (2)_SR4, (2)_SR5, (2)_SR6) | 5.0 ((0), (0)_SR2, (0)_SR3, (0)_SR4, (0)_SR5, (0)_SR7, (0)_SR8, (0)_SR9, (0)_SR10, (0)_SR11, (0)_SR12, (0)_SR13) | 6.0 ((0)_SR1, (0)_SR2, (0)_SR3, (0)_SR4, (0)_SR5, (0)_SR6, (0)_SR7, (0)_SR8, (0)_SR9, (0)_SR10) | 7.0 ((0)_SR1, (0)_SR2, (0)_SR3, (0)_SR4) | 7.1 (2, 3, 4, 5) Cisco Unified Contact Center Enterprise Edition (Base, 4.6.2, 5.0, 6.0, 7.0, 7.1, 7.1.1, 7.1.3) | Express Edition (Base, 2.0, 2.0.2, 2.1, 2.1.1a, 2.1.2, 2.1.3, 2.2, 2.2.1, 2.2.2, 2.2.3b, 2.2.3b_spE, 3.0.2, 3.0.3a_spA, 3.0.3a_spB, 3.0.3a_spC, 3.0.3a_spD, 3.1, 3.1(1)_SR1, 3.1(1)_SR 3.1(2)_SR1, 3.1(2)_SR2, 3.1(2)_SR3, 3.1(2)_SR4, 3.1(3)_SR2, 3.1(3)_SR3, 3.1(3)_SR4, 3.1(3)_SR5, 3.5, 3.5.1, 3.5(1)_SR1, 3.5(2)_SR1, 3.5(3), 3.5(3)_SR1, 3.5(3)_SR2, 3.5(3)_SR3, 5(4)_SR1, 3.5(4)_SR2, 4.0, 4.0(1)_SR1, 4.0(4)_SR1, 4.0(5)_SR1, 4.1, 4.1(1)_SR1, 4.5, 4.5(2)_SR1, 4.5(2)_SR2, 5.0(1)_SR1 | Hosted Edition (Base, 4.6.2, 5.0, 6.0, 7.0, 7.1, 7.1.1, 7.1.3) Cisco Unified IP IVR 2.0 (.2) | 2.1 (.1a, .2, .3) | 2.2 (5), .1, .2, .3b, .3b_spE, .5, .4) | 3.0 (.1_spB, .2, .3a_spA, .3a_spB, .3a_spC, .3a_spD) | 3.1 ((1)_SR2, (2)_SR1, (2)_SR2, (2)_SR3, (3)_SR1, (3)_SR2, (3)_SR3, (3)_SR4, (3)_SR5) | 3.5 ((1)_SR1, (1)_SR2, (1)_SR3, (2)_SR1, (3)_SR1, (3)_SR2, (3)_SR3, (4)_SR1, (4)_SR2, .1, .3) | 4.0 ((1)_SR1, (4)_SR1) | 4.1 (1)_SR1 | 4.5 [(2)_SR1, (2)_SR2] | 5.0(1)_SR1 Cisco IP Interoperability and Collaboration System (IPICS) 1.0 (1.1) Cisco IP Queue Manager 2.2 (Base) Cisco IP/VC 3540 Application Server Module 3.2 (.0.1, .138) | 3,5 (0,0,8) Cisco IP/VC 3540 Rate Matching Module 3,0 (0,9) Cisco Media Blender Versione originale (base) | 3,0 (base) | 4,0 (base) | 5.0 (Base, (0)_SR1, (0)_SR2) Servizi di rete Cisco per Active Directory Versione originale (base) Cisco Outbound Option Versione originale (base) Cisco Personal Assistant 1.0 (Base, (1)) | 1.1 (Base) | 1.3 (Base, .1, .2, .3, .4) | 1.4 (Base, 0,2, 0,3, 0,4, 0,5, 0,6) Opzione Cisco Remote Monitoring Suite 1.0 (base) | 2.0 (Base, (0)_SR1) Cisco Secure Access Control Server (ACS) per Windows 2,6 (base) | 2.6.3.2 (Base) | 2.6.4 (Base) | 2.6.4.4 (Base) | 3,0 (base) | 3.0.1 (Base) | 3.0.1.40 (Base) | 3.0.2 (Base) | 3.0.3 (Base) | 3.0.3.6 (Base) | 3.0.4 (Base) | 3.1.1 (Base) | 3.1.1.27 (Base) | 3.1.2 (Base) | 3.2 (Base) | 3.2.1 (Base) | 3.2.3 (Base) | 3.3.1 (Base) | 3.3.2.2 (Base) | 3.3.1.16 (Base) | 3.3.3.11 (Base) | 4,0 (base) | 4.0.1 (Base) | 4.0.1.27 (Base) | 4.1.1.23 (Base) Cisco Secure Access Control Server Solution Engine (ACSE) 3.1 (Base, 0,1) | 3.2 (Base, .1.20, .2.5, .3) | 3.3 (Base, .1, .1.16, .2.2, .3, .4, .4.12) | 4.0 (Base, 0,1,42, 0,1,44, 0,1,49) | 4.1 (Base, .1.23, .1.23.3, .3, .3.12) Strumento Cisco Secure User Registration Tool (URT) Versione originale (base) | 1.2 (Base, 0,1) | 2.0 (Base, 0,7, 0,8) | 2.5 (Base, 0,1, 0,2, 0,3, 0,4, 0,5) Cisco SN 5420 Storage Router 1.1 (Base, .3, .4, .5, .7, .8) | 2.1 (.1, .2) Cisco SN 5428-2 Storage Router 3.2 (.1, .2) | 3.3 (.1, .2) | 3.4 (.1) | 3.5 (Base, .1, .2, .3, .4) Cisco Trailhead Versione originale (base) | 4,0 (base) Cisco Unified Communications Manager Versione originale (base) | 1,0 (base) | 2,0 (base) | 3,0 (base) | 3.0.3(a) (base) | 3.1 (Base, .1, .2, .3a) | 3.1(1) (Base) | 3.1(2) (Base) | 3.1(2)SR3 (Base) | 3.1(3) (Base) | 3.1(3)SR2 (Base) | 3.1(3)SR4 (Base) | 3.2 (Base) | 3.2(3)SR3 (Base) | 3.3 (Base) | 3.3(2)SPc (base) | 3.3(3) (Base) | 3.3(3)ES61 (Base) | 3.3(3)SR3 (Base) | 3.3(3)SR4a (Base) | 3.3(3a) (Base) | 3.3(4) (Base) | 3.3(4)ES25 (Base) | 3.3(4)SR2 (Base) | 3.3(4 quater) (Base) | 3.3(5) (Base) | 3.3(5)ES24 (Base) | 3.3(5)SR1 (Base) | 3.3(5)SR1a (base) | 3.3(5)SR2 (Base) | 3.3(5)SR2a (base) | 3.3(5)SR3 (Base) | 3.3(59) (Base) | 3.3(61) (Base) | 3.3(63) (Base) | 3.3(64) (Base) | 3.3(65) (Base) | 3.3(66) (Base) | 3.3(67.5) (Base) | 3.3(68.1) (Base) | 3.3(71.0) (Base) | 3.3(74.0) (Base) | 3.3(78) (Base) | 3.3(76) (Base) | 4.0 (.1, .2) | 4.0(2a)ES40 (Base) | 4.0(2a)ES56 (Base) | 4.0(2a)SR2b (base) | 4.0(2a)SR2c (base) | 4.1 (Base) | 4.1(2) (Base) | 4.1(2)ES33 (Base) | 4.1(2)ES50 (Base) | 4.1(2)SR1 (Base) | 4.1(3) (Base) | 4.1(3)ES (Base) | 4.1(3)ES07 (Base) | 4.1(3)ES24 (Base) | 4.1(3)SR (base) | 4.1(3)SR1 (Base) | 4.1(3)SR2 (Base) | 4.1(3)SR3 (Base) | 4.1(3)SR3b (base) | 4.1(3)SR3c (Base) | 4.1(3)SR4 (Base) | 4.1(3)SR4b (Base) | 4.1(3)SR4d (Base) | 4.1(3)SR5 (Base) | 4.1(4) (Base) | 4.1(9) (Base) | 4.1(17) (Base) | 4.1(19) (Base) | 4.1(22) (Base) | 4.1(23) (Base) | 4.1(25) (Base) | 4.1(26) (Base) | 4.1(27.7) (Base) | 4.1(28.2) (Base) | 4.1(30.4) (Base) | 4.1(36) (Base) | 4.1(39) (Base) | 4.2(1) (Base) | 4.2(1)SR1b (base) | 4.2(1.02) (Base) | 4.2(1.05.3) (Base) | 4.2(1.06) (Base) | 4.2(1.07) (Base) | 4.2(3) (Base) | 4.2(3)SR1 (Base) | 4.2(3)SR2 (Base) | 4.2(3.08) (Base) | 4.2(3.2.3) (Base) | 4.2(3.3) (Base) | 4.2(3.13) (Base) | 4.3(1) (Base) | 4.3(1)SR (base) | 4.3(1.57) (Base) Cisco Unified Customer Voice Portal (CVP) 3.0 ((0), (0)SR1, (0)SR2) | 3.1 ((0), (0)SR1, (0)SR2) | 4.0 (0), (1), (1)SR1, (2) Cisco Unified MeetingPlace 4.3 (Base) | 5.3 (Base) | 5.2 (Base) | 5.4 (Base) | 6,0 (base) Cisco Unified MeetingPlace Express 1.1 (Base) | 1.2 (Base) | 2,0 (base) Cisco Unity Versione originale (base) | 2,0 (base) | 2.1 (Base) | 2.2 (Base) | 2.3 (Base) | 2.4 (Base) | 2,46 (Base) | 3,0 (base, 0,1) | 3.1 (Base, .2, .3, .5, .6) | 3.2 (Base) | 3.3 (Base) | 4.0 (Base, .1, .2, .3, .3b, .4, .5) | 4.1 (Base, 0,1) | 4.2 (Base, .1, .1 ES27) | 5.0 (1) | 7.0 (2) Cisco Unity Express 1.0.2 (Base) | 1.1.1 (Base) | 1.1.2 (Base) | 2.0.1 (Base) | 2.0.2 (Base) | 2.1.1 (Base) | 2.1.2 (Base) | 2.1.3 (Base) | 2.2.0 (Base) | 2.2.1 (Base) | 2.2.2 (Base) | 2.3.0 (Base) | 2.3.1 (Base) Software Cisco Wireless Control System (WCS) 1.0 (base) | 2.0 (Base, 44.14, 44.24) | 2.2 (.0, .111.0) | 3.0 (Base, 0,101,0, 105,0) | 3.1 (Base, .20.0, .33.0, .35.0) | 3.2 (Base, .23.0, .25.0, .40.0, .51.0, .64.0) | 4.0 (Base, 0,1,0, 0,43,0, 66,0, 81,0, 87,0, 96,0, 97,0) | 4.1 (Base, 0,83,0) CiscoWorks IP Telephony Environment Monitor (ITEM) 1.3 (Base) | 1.4 (Base) | 2,0 (base) CiscoWorks LAN Management Solution (LMS) 1.3 (Base) | 2.2 (Base) | 2,5 (Base) | 2,6 (Base) CiscoWorks QoS Policy Manager (QPM) 2.0 (Base, .1, .2, .3) | 2.1 (.2) | 3,0 (base, 0,1) | 3.1 (Base) | 3.2 (Base, .1, .2, .3) CiscoWorks Routed WAN Management Solution (RWAN) 1.0 (base) | 1.1 (Base) | 1.2 (Base) | 1.3 (Base, 0,1) CiscoWorks Small Network Management Solution (SNMS) 1.0 (base) | 1,5 (Base) CiscoWorks VPN/Security Management Solution (VMS) 1.0 (base) | 2,0 (base) | 2.1 (Base) | 2.2 (Base) | 2.3 (Base) Cisco Collaboration Server 3.0 (base) | 3,01 (Base) | 3,02 (Base) | 4,0 (base) | 5,0 (base) Cisco DOCSIS CPE Configurator 1.0 (base) | 1.1 (Base) | 2,0 (base) Cisco Unified IP Interactive Voice Response (IVR) 2.0 (base) | 2.1 (Base) Cisco Service Control Engine (SCE) 3.0 (base) | 3.1 (Base) Cisco Transport Manager Versione originale (base) | 2,0 (base) | 2.1 (Base) | 2.2 (Base, 0,1) | 3.0 (Base, 0,1, 0,2) | 3.1 (Base) | 3.2 (Base) | 4,0 (base) | 4.1 (Base, 0,4, 0,6, 0,6,1) | 4.6 (Base) | 4.7 (Base) | 5.0 (Base, .0.867.2, .1.873.2, .2, .2.92.1, .2.99.1, .2.105.1, .2.10.1) | 6.0 (Base, .0.405.1, .0.407.1, .0.412.1) | 7.0 (Base, .0.370.1, .0.372.1, .0.377.1, .0.389.1, .0.400.1, .395.1) | 7.2 (Base 0,0.199,1)
-
IL PRESENTE DOCUMENTO VIENE FORNITO "COSÌ COM'È" E NON IMPLICA ALCUNA GARANZIA O CONCESSIONE, INCLUSE LE GARANZIA DI COMMERCIABILITÀ O IDONEITÀ PER UNO SCOPO SPECIFICO. L'UTILIZZO DA PARTE DELL'UTENTE DELLE INFORMAZIONI CONTENUTE NEL DOCUMENTO O NEI MATERIALI ACCESSIBILI DAL DOCUMENTO AVVIENE A PROPRIO RISCHIO. CISCO SI RISERVA IL DIRITTO DI MODIFICARE O AGGIORNARE GLI AVVISI IN QUALSIASI MOMENTO.
Una copia standalone o una parafrasi del testo di questo documento che omette l'URL di distribuzione è una copia non controllata e può non contenere informazioni importanti o contenere errori materiali. Le informazioni di questo documento sono destinate agli utenti finali dei prodotti Cisco