Identificatie en beperking van exploitatie van de kwetsbaarheden van Cisco Unified Communications Manager Denial of Service
Identificatie en beperking van exploitatie van de kwetsbaarheden van Cisco Unified Communications Manager Denial of Service
Advies-ID: cisco-amb-20071017-cucm
https://sec.cloudapps.cisco.com/security/center/content/CiscoAppliedMitigationBulletin/cisco-amb-20071017-cucm
Revisie 1.2
Openbare publicatie 2007 oktober 17 16:00 UTC (GMT)
Inhoud
Cisco ResponseApparaatspecifieke beperking en identificatie
Aanvullende informatie
Revisiegeschiedenis
Cisco-beveiligingsprocedures
Gerelateerde informatie
Cisco Response
Dit Toegepaste Mitigation Bulletin is een begeleidend document bij de PSIRT Security Advisory Cisco Unified Communications Manager Denial of Service Vulnerabilities en biedt identificatie- en onderdrukkingstechnieken die beheerders op Cisco-netwerkapparaten kunnen implementeren.
Kwetsbaarheid Kenmerken
Er zijn meerdere kwetsbaarheden in bepaalde releases van Cisco Unified Communications Manager (CUCM), voorheen Cisco Unified CallManager. Deze kwetsbaarheden worden in de volgende subsecties samengevat.
Session Initiation Protocol (SIP) NODIGT UDP Denial of Service uit: deze kwetsbaarheid kan op afstand worden benut zonder verificatie en zonder gebruikersinteractie. Succesvolle benutting van deze kwetsbaarheid kan resulteren in een denial of service-omstandigheid (DoS). Herhaalde pogingen om gebruik te maken van deze kwetsbaarheid kunnen resulteren in een aanhoudende DoS-conditie. De aanvalsvector voor exploitatie is via SIP-pakketten met UDP-poort 5060. Een aanvaller kon deze kwetsbaarheid door spoofingaanvallen uitbuiten. Deze kwetsbaarheid is toegewezen CVE-naam CVE-2007-5537.
TFTP-overflow (Central Trivial File Transfer Protocol): deze kwetsbaarheid kan op afstand worden benut zonder verificatie en zonder gebruikersinteractie. Succesvolle benutting van deze kwetsbaarheid kan willekeurige codeuitvoering toestaan en in een ontkenning van de dienst (Dos) voorwaarde resulteren. Herhaalde pogingen om gebruik te maken van deze kwetsbaarheid kunnen resulteren in een aanhoudende DoS-conditie. De aanvalsvector voor exploitatie is via HTTP-pakketten met TCP-poort 6970. Deze kwetsbaarheid is toegewezen CVE-naam CVE-2007-5538.
Informatie over kwetsbare, onaangetaste en vaste software is beschikbaar in de PSIRT Security Advisory, die beschikbaar is via de volgende link: https://sec.cloudapps.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-20071017-cucm.
Overzicht Mitigation Technique
Cisco-apparaten bieden verschillende tegenmaatregelen voor de SIP INVITE UDP-denial of-service en kwetsbaarheden voor gecentraliseerde TFTP-bestandslokalisatieservice. Beheerders wordt aangeraden deze beveiligingsmethoden te beschouwen als algemene best practices op het gebied van beveiliging van infrastructuurapparaten en het verkeer dat het netwerk doorkruist.
Cisco IOS-software kan effectieve middelen voor explosiepreventie bieden door gebruik te maken van de volgende methoden:
- Toegangscontrolelijsten voor douanevervoer (ACL’s)
- Unicast Reverse Path Forwarding (Unicast RPF)
- IP-bronbeveiliging (IPSG)
Deze beveiligingsmechanismen filteren en neerzetten, en verifiëren het IP-bronadres van, pakketten die proberen de kwetsbaarheden te exploiteren die in dit document worden beschreven.
Op Cisco IOS-software biedt de juiste implementatie en configuratie van Unicast RPF de meest effectieve bescherming tegen aanvallen waarbij pakketten met IP-adressen van een gespoofde bron worden gebruikt. Unicast RPF moet zo dicht mogelijk bij alle verkeersbronnen worden geïmplementeerd.
De juiste plaatsing en configuratie van IPSG biedt de meest effectieve middelen van bescherming tegen aanvallen met gespoofde bron MAC-adressen.
Effectieve middelen voor explosiepreventie kunnen ook worden geleverd door de Cisco ASA 5500 Series adaptieve security applicatie, Cisco PIX 500 Series security applicatie en de Firewall Services Module (FWSM) voor Cisco Catalyst 6500 Series switches en Cisco 7600 Series routers met het volgende:
- TACL’s
- Unicast RPF
Deze beveiligingsmechanismen filteren en neerzetten, en verifiëren het IP-bronadres van, pakketten die proberen de kwetsbaarheden te exploiteren die in dit document worden beschreven.
Op Cisco ASA, PIX en FWSM biedt de juiste implementatie en configuratie van Unicast RPF de meest effectieve bescherming tegen aanvallen waarbij pakketten met IP-adressen van een gespoofde bron worden gebruikt. Unicast RPF moet zo dicht mogelijk bij alle verkeersbronnen worden geïmplementeerd.
Cisco IOS NetFlow kan zichtbaarheid in deze exploitatiepogingen bieden door gebruik te maken van flowrecords.
Cisco IOS-software, Cisco ASA, Cisco PIX-security applicaties en FWSM-firewalls kunnen zichtbaarheid bieden door syslogberichten en de tegenwaarden die worden weergegeven in de uitvoer van show-opdrachten.
Effectief gebruik van de gebeurtenisacties van Cisco Inbraakpreventiesysteem (IPS) biedt zichtbaarheid in en bescherming tegen aanvallen die proberen deze kwetsbaarheden te exploiteren.
De applicatie Cisco Security Monitoring, Analysis, and Response System (Cisco Security MARS) kan ook zichtbaarheid bieden via vragen en gebeurtenisrapportage.
Risicobeheer
Organisaties moeten hun standaard risicobeoordelings- en risicobeperkingsprocessen volgen om de potentiële impact van deze kwetsbaarheden te bepalen. Triage verwijst naar het sorteren van projecten en het prioriteren van inspanningen die waarschijnlijk het meest succesvol zullen zijn. Cisco heeft documenten geleverd die organisaties kunnen helpen bij de ontwikkeling van een op risico gebaseerde triagecapaciteit voor hun informatieveiligheidsteams. Risico Triage voor Security Vulnerability Mededelingen en Risico Triage en Prototyping in Informatiebeveiliging Engagements kunnen organisaties helpen herhaalbare security evaluatie- en reactieprocessen te ontwikkelen.
Apparaatspecifieke beperking en identificatie
Waarschuwing: de effectiviteit van elke mitigatietechniek is afhankelijk van specifieke klantsituaties zoals productmix, netwerktopologie, verkeersgedrag en organisatorische missie. Zoals bij elke configuratiewijziging, evalueer het effect van deze configuratie voordat u de wijziging toepast.
Voor deze hulpmiddelen is specifieke informatie over beperking en identificatie beschikbaar:
Cisco IOS-routers en -Switches
Beperking: toegangscontrolelijsten voor douanevervoer
In een poging om het netwerk te beschermen tegen verkeer dat het netwerk ingaat op toegangspunten, die internetverbindingspunten, partner- en leverancieraansluitpunten of VPN-verbindingspunten kunnen omvatten, moeten beheerders transittoegangscontrolelijsten (tACL’s) implementeren om beleidshandhaving uit te voeren. Beheerders kunnen een tACL construeren door alleen geautoriseerd verkeer expliciet toe te staan om het netwerk op access points binnen te gaan of door geautoriseerd verkeer toe te staan om door het netwerk te reizen in overeenstemming met bestaand beveiligingsbeleid en configuraties.
Het tACL-beleid ontkent onbevoegde SIP-pakketten op UDP-poort 5060 en HTTP-pakketten op TCP-poort 6970 die naar getroffen apparaten worden verzonden. In het volgende voorbeeld, 192.168.1.0/24 is de netwerkIP adresruimte die door de beïnvloede apparaten wordt gebruikt en de gastheer in 192.168.100.1 wordt beschouwd als een vertrouwde op bron die toegang tot de beïnvloede apparaten vereist. Zorg ervoor dat het vereiste verkeer voor routing en administratieve toegang is toegestaan voordat alle niet-geautoriseerde verkeer wordt ontkend.
Aanvullende informatie over ACL’s is beschikbaar in Transit Access Control Lists: Filtering at Your Edge.
! !--- Include any explicit permit statements for trusted sources !--- that require access on the vulnerable ports ! access-list 150 permit udp host 192.168.100.1 192.168.1.0 0.0.0.255 eq 5060 access-list 150 permit tcp host 192.168.100.1 192.168.1.0 0.0.0.255 eq 6970 ! !--- The following vulnerability-specific access control entries !--- (ACEs) can aid in identification of attacks ! access-list 150 deny udp any 192.168.1.0 0.0.0.255 eq 5060 access-list 150 deny tcp any 192.168.1.0 0.0.0.255 eq 6970 ! !--- Permit/deny all other Layer 3 and Layer 4 traffic in accordance !--- with existing security policies and configurations ! !--- Explicit deny for all other IP traffic ! access-list 150 deny ip any any ! !--- Apply tACL to interfaces in the ingress direction interface GigabitEthernet0/0 ip access-group 150 in !
Merk op dat het filtreren met een lijst van de interfacetoegang de transmissie van onbereikbare berichten ICMP terug naar de bron van het gefilterde verkeer zal veroorzaken. Het genereren van deze berichten zou het ongewenste effect kunnen hebben van het verhogen van CPU-gebruik op het apparaat. In Cisco IOS-software is de onbereikbare ICMP-generatie standaard beperkt tot één pakket per 500 milliseconden. ICMP onbereikbare berichtgeneratie kan worden uitgeschakeld met de opdracht interfaceconfiguratie zonder IP-onbereikbaar. ICMP-onbereikbare snelheidsbeperking kan worden gewijzigd ten opzichte van de standaardinstelling met behulp van de algemene opdracht voor configuratie ip icmp-snelheidslimiet voor onbereikbare interval-in-ms.
Unicast doorsturen van omgekeerde paden
De SIP INVITE UDP-ontkenning van kwetsbaarheid voor services kan worden gebruikt door gespoofde IP-pakketten. De juiste implementatie en configuratie van Unicast Reverse Path Forwarding (Unicast RPF) kan beschermingsmechanismen bieden voor spoofing in verband met de SIP INVITE UDP-ontkenning van servicekwetsbaarheid.
Unicast RPF is geconfigureerd op interfaceniveau en kan pakketten detecteren en neerzetten die geen verifieerbaar IP-bronadres hebben. Beheerders dienen niet te vertrouwen op Unicast RPF om 100 procent spoofing bescherming te bieden, omdat spoofed-pakketten het netwerk kunnen binnenkomen via een Unicast RPF-enabled interface als er een geschikte retourroute naar het bron-IP-adres bestaat. Beheerders dienen ervoor te zorgen dat de juiste Unicast RPF-modus (los of strikt) wordt geconfigureerd tijdens de implementatie van deze functie, omdat legitiem verkeer dat via het netwerk wordt verzonden, kan worden geminimaliseerd. In een ondernemingsmilieu, zou Unicast RPF bij de rand van Internet en de interne toegangslaag op gebruiker-ondersteunende Layer 3 kunnen worden toegelaten interfaces.
Aanvullende informatie is beschikbaar in de Unicast Reverse Path Forwarding Losse Mode functiehandleiding.
Voor extra informatie over de configuratie en het gebruik van Unicast RPF, raadpleegt u het Witboek Understanding Unicast Reverse Path Forwarding Applied Intelligence.
IP-bronbeveiliging
IP Source Guard (IPSG) is een beveiligingsfunctie die IP-verkeer op niet-gerouteerde, Layer 2-interfaces beperkt door pakketten te filteren op basis van de bindende database met DHCP-snooping en handmatig ingestelde IP-bronbindingen. Beheerders kunnen IPSG gebruiken om aanvallen te voorkomen van een aanvaller die probeert pakketten te parasiteren door het IP-bronadres en/of het MAC-adres te vervalsen. De juiste implementatie en configuratie van IPSG gekoppeld aan strikte modus Unicast RPF kan de meest effectieve manier van spoofing bescherming bieden om de SIP INVITE UDP denial of service kwetsbaarheid te helpen verminderen.
Aanvullende informatie over de implementatie en configuratie van IPSG is beschikbaar in Configureren van DHCP-functies en IP Source Guard.
Identificatie: Toegangscontrolelijsten voor douanevervoer
Nadat de beheerder de tACL op een interface heeft toegepast, zal de opdracht IP-toegangslijsten tonen het aantal SIP-pakketten op UDP-poort 5060 en HTTP-pakketten op TCP-poort 6970 identificeren die zijn gefilterd. De beheerders zouden gefilterde pakketten moeten onderzoeken om te bepalen of zij pogingen zijn om deze kwetsbaarheid te exploiteren. De output van het voorbeeld voor toont ip toegang-lijsten 150 volgt:
router#show ip access-lists 150
Extended IP access list 150
10 permit udp host 192.168.100.1 192.168.1.0 0.0.0.255 eq 5060
20 permit tcp host 192.168.100.1 192.168.1.0 0.0.0.255 eq 6970
30 deny udp any 192.168.1.0 0.0.0.255 eq 5060 (12 matches)
40 deny tcp any 192.168.1.0 0.0.0.255 eq 6970 (26 matches)
50 deny ip any any
router#
In het voorafgaande voorbeeld heeft toegangslijst 150 12 SIP-pakketten op UDP-poort 5060 laten vallen voor ACE-sequentie-id 30 en 26 HTTP-pakketten op TCP-poort 6970 voor ACE-sequentie-id 40.
Identificatie: Vastlegging toegangslijst
De optie log of log-input toegangscontrolelijst (ACL) zorgt ervoor dat pakketten die overeenkomen met specifieke ACE's worden vastgelegd. De log-inputoptie maakt het registreren van de toegangsinterface mogelijk, naast de IP-adressen en -poorten van de pakketbron en de bestemming.
Waarschuwing: vastlegging in toegangscontrolelijst kan zeer CPU-intensief zijn en moet met uiterste voorzichtigheid worden gebruikt. De factoren die de CPU-impact van ACL-vastlegging bepalen, zijn loggeneratie, logtransmissie en processwitching naar voorwaartse pakketten die logbestanden met ACE's matchen.
De CPU-impact van ACL-vastlegging kan worden aangepakt in hardware op de Cisco Catalyst 6500 Series-switches en Cisco 7600 Series-routers met Supervisor Engine 720 of Supervisor Engine 32 met behulp van geoptimaliseerde ACL-vastlegging. De opdracht interval-in-ms voor vastlegging van IP-toegangslijst kan de effecten van processwitching beperken die worden veroorzaakt door ACL-vastlegging. De logsnelheid-limiet rate-per-seconde [behalve loglevel] opdracht beperkt het effect van loggeneratie en transmissie.
Voor extra informatie over de configuratie en het gebruik van ACL-vastlegging raadpleegt u het Witboek Inzicht in toegangscontrolelijst en toegepaste intelligentie.
Identificatie: bescherming tegen spoofing met Unicast Reverse Path Forwarding
Met Unicast RPF correct geïmplementeerd en geconfigureerd in de netwerkinfrastructuur, kunnen beheerders de interface van de show gebruiken, cef drop tonen, cef interface type sleuf/poort intern tonen, en ip traffic opdrachten tonen om het aantal pakketten te identificeren dat Unicast RPF is gedaald.
Opmerking: de opdracht show | begin met regexp en toon opdracht | omvat regexp commando modifiers worden gebruikt in de volgende voorbeelden om de hoeveelheid output te minimaliseren die beheerders moeten parseren om de gewenste informatie te bekijken. Er is aanvullende informatie over opdrachtwijzigingen beschikbaar in de secties "show commando" van de Opdrachtreferentie voor Cisco IOS Configuration Fundamentals.
Opmerking: Het show cef interface type sleuf/poort interne opdracht is een verborgen opdracht die volledig moet worden ingevoerd op de opdrachtregel interface. Opdrachtvoltooiing is er niet voor beschikbaar.
router#show ip interface GigabitEthernet 0/0 | begin verify
!--- CLI Output Truncated
IP verify source reachable-via RX, allow default, allow self-ping
18 verification drops
0 suppressed verification drops
router#
router#show cef drop
CEF Drop Statistics
Slot Encap_fail Unresolved Unsupported No_route No_adj ChkSum_Err
RP 27 0 0 18 0 0
IPv6 CEF Drop Statistics
Slot Encap_fail Unresolved Unsupported No_route No_adj
RP 0 0 0 3 0
router#
router#show cef interface GigabitEthernet 0/0 internal | include drop
-- CLI Output Truncated --
ip verify: via=rx (allow default), acl=0, drop=18, sdrop=0, allow self-ping
router#
router#show ip traffic
IP statistics:
Rcvd: 68051015 total, 2397325 local destination
43999 format errors, 0 checksum errors, 33 bad hop count
2 unknown protocol, 929 not a gateway
21 security failures, 190123 bad options, 542768 with options
Opts: 352227 end, 452 nop, 36 basic security, 1 loose source route
45 timestamp, 59 extended security, 41 record route
53 stream ID, 3 strict source route, 40 alert, 45 cipso, 0 ump
361634 other
Frags: 0 reassembled, 10008 timeouts, 56866 couldn't reassemble
0 fragmented, 0 fragments, 0 couldn't fragment
Bcast: 64666 received, 0 sent
Mcast: 1589885 received, 2405454 sent
Sent: 3001564 generated, 65359134 forwarded
Drop: 4256 encapsulation failed, 0 unresolved, 0 no adjacency
18 no route, 18 unicast RPF, 0 forced drop
0 options denied
Drop: 0 packets with source IP address zero
Drop: 0 packets with internal loop back IP address
!--- CLI Output Truncated
router#
In de bovenstaande voorbeelden is Unicast RPF 18 IP-pakketten gevallen die wereldwijd op alle interfaces met Unicast RPF zijn ontvangen, geconfigureerd vanwege het onvermogen om het bronadres van de IP-pakketten te verifiëren in de Cisco Express Forwarding Forwarding Information Base.
Cisco IOS NetFlow
Identificatie: Traffic Flow Identification met NetFlow-records
Beheerders kunnen Cisco IOS NetFlow configureren op Cisco IOS-routers en -switches om te helpen bij de identificatie van verkeersstromen die pogingen kunnen zijn om de kwetsbaarheden te exploiteren die in dit document worden beschreven. De beheerders zouden stromen moeten onderzoeken om te bepalen of zij pogingen zijn om deze kwetsbaarheid te exploiteren of of zij wettige verkeersstromen zijn.
router#show ip cache flow
IP packet size distribution (1103375 total packets):
1-32 64 96 128 160 192 224 256 288 320 352 384 416 448 480
.004 .434 .081 .017 .011 .033 .001 .010 .001 .000 .009 .000 .001 .001 .000
512 544 576 1024 1536 2048 2560 3072 3584 4096 4608
.000 .002 .380 .002 .004 .000 .000 .000 .000 .000 .000
IP Flow Switching Cache, 4456704 bytes
12 active, 65524 inactive, 54766 added
3098504 ager polls, 0 flow alloc failures
Active flows timeout in 2 minutes
Inactive flows timeout in 60 seconds
IP Sub Flow Cache, 402120 bytes
24 active, 16360 inactive, 109532 added, 54766 added to flow
0 alloc failures, 0 force free
1 chunk, 1 chunk added
last clearing of statistics never
Protocol Total Flows Packets Bytes Packets Active(Sec) Idle(Sec)
-------- Flows /Sec /Flow /Pkt /Sec /Flow /Flow
TCP-Telnet 869 0.0 38 41 0.1 20.6 43.2
TCP-FTP 31 0.0 16 59 0.0 6.7 28.0
TCP-WWW 2996 0.0 12 231 0.1 8.2 11.4
TCP-other 24997 0.0 38 288 3.3 25.5 21.1
UDP-DNS 361 0.0 2 49 0.0 0.9 60.4
UDP-NTP 13982 0.0 1 76 0.0 0.8 60.5
UDP-other 10136 0.0 3 159 0.1 25.3 48.6
ICMP 556 0.0 7 68 0.0 51.4 39.6
Total: 53928 0.1 20 270 3.7 18.1 36.8
SrcIf SrcIPaddress DstIf DstIPaddress Pr SrcP DstP Pkts
Gi0/0 192.168.208.64 Gi0/1 192.168.1.21 11 13C4 13C4 1458
Gi0/0 192.16820.67 Gi0/1 192.168.150.60 06 0707 0016 80
Gi0/0 192.168.208.63 Gi0/1 192.168.1.21 06 84F2 1B3A 4
Gi0/0 192.168.14.132 Gi0/1 192.168.150.60 06 1A29 90AB 2
Gi0/0 192.168.115.113 Gi0/1 192.168.128.21 06 09BD 0017 2
Gi0/0 192.168.115.113 Local 192.168.128.20 06 0981 0017 31
Gi0/0 192.168.115.113 Gi0/1 192.168.130.41 06 0B83 01BB 30
Gi0/0 192.168.226.1 Gi0/1 192.168.206.5 11 007B 007B 1
Gi0/0 192.168.226.1 Local 192.168.128.20 11 007B 007B 1
Gi0/0 192.168.226.1 Gi0/1 192.168.128.21 11 007B 007B 1
router#
In het bovenstaande voorbeeld zijn er meerdere stromen voor SIP-pakketten op UDP-poort 5060 (hexawaarde 13C4) en HTTP-pakketten op TCP-poort 6970 (hexawaarde 1B3A). De UDP-pakketten in deze stromen kunnen worden gespookt en kunnen wijzen op een poging om de in dit document beschreven kwetsbaarheden te exploiteren. De beheerders zouden deze stromen bij basislijngebruik voor SIP-pakketten op UDP-poort 5060 en op TCP-poort 6970 moeten vergelijken en ook de stromen moeten onderzoeken om te bepalen of ze afkomstig zijn van onbetrouwbare hosts of netwerken.
Als u alleen de verkeersstromen voor SIP-pakketten op UDP-poort 5060 (hexadecimale waarde 13C4) wilt weergeven, toont de opdracht de IP-cachestroom | neem ook SrcIf|_11_.*13C4 zal de verwante verslagen NetFlow zoals hier getoond tonen:
router#show ip cache flow | include SrcIf|_11_.*13C4 SrcIf SrcIPaddress DstIf DstIPaddress Pr SrcP DstP Pkts Gi0/0 192.168.208.64 Gi0/1 192.168.1.21 11 13C4 13C4 1458 router#
Als u alleen de verkeersstromen voor TCP-poort 6970 (hexadecimale waarde 1B3A) wilt weergeven, toont de opdracht de IP-cachestroom | omvat ook SrcIf|_06_.*1B3A zal de verwante verslagen NetFlow zoals hier getoond tonen:
router#show ip cache flow | include SrcIf|_06_.*1B3A SrcIf SrcIPaddress DstIf DstIPaddress Pr SrcP DstP Pkts Gi0/0 192.168.208.63 Gi0/1 192.168.1.21 06 84F2 1B3A 4 router#
Cisco ASA-, PIX- en FWSM-firewalls
Beperking: toegangscontrolelijsten voor douanevervoer
In een poging om het netwerk te beschermen tegen verkeer dat het netwerk ingaat op toegangspunten, die internetverbindingspunten, partner- en leverancieraansluitpunten of VPN-verbindingspunten kunnen omvatten, moeten beheerders tACL’s implementeren om beleidshandhaving uit te voeren. Beheerders kunnen een tACL construeren door alleen geautoriseerd verkeer expliciet toe te staan om het netwerk op access points binnen te gaan of door geautoriseerd verkeer toe te staan om door het netwerk te reizen in overeenstemming met bestaand beveiligingsbeleid en configuraties.
Het tACL-beleid ontkent onbevoegde SIP-pakketten op UDP-poort 5060 en HTTP-pakketten op TCP-poort 6970 die naar getroffen apparaten worden verzonden. In het volgende voorbeeld, 192.168.1.0/24 is de netwerkIP adresruimte die door de beïnvloede apparaten wordt gebruikt en de gastheer in 192.168.100.1 wordt beschouwd als een vertrouwde op bron die toegang tot de beïnvloede apparaten vereist. Zorg ervoor dat het vereiste verkeer voor routing en administratieve toegang is toegestaan voordat alle niet-geautoriseerde verkeer wordt ontkend.
Aanvullende informatie over ACL’s is beschikbaar in Transit Access Control Lists: Filtering at Your Edge.
! !--- Include any explicit permit statements for trusted sources !--- that require access on the vulnerable ports ! access-list Transit-ACL-Policy extended permit udp host 192.168.100.1 192.168.1.0 255.255.255.0 eq 5060 access-list Transit-ACL-Policy extended permit tcp host 192.168.100.1 192.168.1.0 255.255.255.0 eq 6970 ! !--- The following vulnerability-specific access control entries !--- (ACEs) can aid in identification of attacks ! access-list Transit-ACL-Policy extended deny udp any 192.168.1.0 255.255.255.0 eq 5060 access-list Transit-ACL-Policy extended deny tcp any 192.168.1.0 255.255.255.0 eq 6970 ! !--- Permit/deny all other Layer 3 and Layer 4 traffic in accordance !--- with existing security policies and configurations ! !--- Explicit deny for all other IP traffic ! access-list Transit-ACL-Policy extended deny ip any any ! !--- Apply tACL to interfaces in the ingress direction ! access-group Transit-ACL-Policy in interface outside
Beperking: bescherming tegen spoofing met Unicast Reverse Path Forwarding
De SIP INVITE UDP-ontkenning van kwetsbaarheid voor services kan worden gebruikt door gespoofde IP-pakketten. De juiste implementatie en configuratie van Unicast Reverse Path Forwarding (Unicast RPF) kan beschermingsmechanismen bieden voor spoofing in verband met de SIP INVITE UDP-ontkenning van servicekwetsbaarheid.
Unicast RPF is geconfigureerd op interfaceniveau en kan pakketten detecteren en neerzetten die geen verifieerbaar IP-bronadres hebben. Beheerders dienen niet te vertrouwen op Unicast RPF om 100 procent spoofing bescherming te bieden, omdat spoofed-pakketten het netwerk kunnen binnenkomen via een Unicast RPF-enabled interface als er een geschikte retourroute naar het bron-IP-adres bestaat. In een ondernemingsmilieu, zou Unicast RPF bij de rand van Internet en bij de interne toegangslaag op gebruiker ondersteunend Layer 3 interfaces kunnen worden toegelaten.
Voor extra informatie over de configuratie en het gebruik van Unicast RPF, raadpleegt u de Cisco Security Appliance Command Reference voor IP-verificatie van het omgekeerde pad en het Understanding Unicast Reverse Path Forwarding Applied Intelligence-witboek.
Identificatie: Toegangscontrolelijsten voor douanevervoer
Nadat tACL is toegepast op een interface, kunnen beheerders de show access-list opdracht gebruiken om het aantal SIP-pakketten op UDP-poort 5060 en HTTP-pakketten op TCP-poort 6970 te identificeren die zijn gefilterd. De beheerders zouden gefilterde pakketten moeten onderzoeken om te bepalen of zij pogingen zijn om deze kwetsbaarheid te exploiteren. De output van het voorbeeld voor toont toegang-lijst Transit-ACL-Policy volgt:
firewall#show access-list Transit-ACL-Policy access-list Transit-ACL-Policy; 5 elements access-list Transit-ACL-Policy line 1 extended permit udp host 192.168.100.1 192.168.1.0 255.255.255.0 eq sip access-list Transit-ACL-Policy line 2 extended permit tcp host 192.168.100.1 192.168.1.0 255.255.255.0 eq 6970 access-list Transit-ACL-Policy line 3 extended deny udp any 192.168.1.0 255.255.255.0 eq sip (hitcnt=4378) access-list Transit-ACL-Policy line 4 extended deny tcp any 192.168.1.0 255.255.255.0 eq 6970 access-list Transit-ACL-Policy line 5 extended deny ip any any firewall#
In het voorafgaande voorbeeld heeft de toegangslijst Transit-ACL-Policy 4378 SIP-pakketten op UDP-poort 5060 laten vallen die van een onbetrouwbare host of een onbetrouwbaar netwerk zijn ontvangen. Daarnaast kan syslog-bericht 106023 waardevolle informatie leveren, waaronder het IP-adres van de bron en de bestemming, de bron- en doelpoortnummers en het IP-protocol voor het ontkende pakket.
Identificatie: berichten in Firewall Access-list Syslog
Firewallsyslog-bericht 106023 wordt gegenereerd voor pakketten die worden geweigerd door een toegangscontrole-ingang (ACE) die niet het trefwoord voor het logbestand heeft. Aanvullende informatie over dit syslogbericht is beschikbaar in het systeemlogbericht van Cisco Security Appliance - 106023.
Informatie over het configureren van syslog voor de Cisco ASA 5500 Series adaptieve security applicatie of de Cisco PIX 500 Series security applicatie is beschikbaar in Vastlegging configureren op de Cisco security applicatie. Informatie over het configureren van syslog op de FWSM voor Cisco Catalyst 6500 Series-switches en Cisco 7600 Series-routers is beschikbaar in Configureren van bewaking en vastlegging op Cisco FWSM.
In het volgende voorbeeld, de show vastlegging | grep regex opdracht haalt syslog berichten uit de logboekbuffer op de firewall. Deze berichten verstrekken extra informatie over ontkende pakketten die op pogingen konden wijzen om de kwetsbaarheden te exploiteren die in dit document worden beschreven. Het is mogelijk om verschillende reguliere expressies te gebruiken met het grep-sleutelwoord om te zoeken naar specifieke gegevens in de geregistreerde berichten.
Aanvullende informatie over de syntaxis van reguliere expressies is beschikbaar in Opdrachtlijninterface gebruiken.
firewall#show logging | grep 106021 Sep 20 2007 10:07:01: %ASA-4-106023: Deny udp src outside:192.168.2.18/5210 dst inside:192.168.1.191/5060 by access-group "Transit-ACL-Policy" Sep 20 2007 10:07:01: %ASA-4-106023: Deny tcp src outside:192.168.3.200/3521 dst inside:192.168.1.33/6970 by access-group "Transit-ACL-Policy" firewall#
In het voorafgaande voorbeeld heeft de toegangslijst Transit-ACL-Policy 4378 SIP-pakketten op UDP-poort 5060 laten vallen die van een onbetrouwbare host of een onbetrouwbaar netwerk zijn ontvangen. Daarnaast kan syslog-bericht 106023 waardevolle informatie leveren, waaronder het IP-adres van de bron en de bestemming, de bron- en doelpoortnummers en het IP-protocol voor het ontkende pakket.
Er is aanvullende informatie over syslogberichten voor ASA- en PIX-beveiligingsapparaten beschikbaar in Cisco Security Appliance System Log Messages. Aanvullende informatie over syslog-berichten voor de FWSM is beschikbaar in Catalyst 6500 Series Switch en Cisco 7600 Series router Firewall Services Module Logging Configuration en System Log Berichten.
Identificatie: bescherming tegen spoofing met Unicast Reverse Path Forwarding
Firewallsyslog-bericht 106021 wordt gegenereerd voor pakketten die worden geweigerd door Unicast PDF. Aanvullende informatie over dit syslogbericht is beschikbaar in het systeemlogbericht van Cisco Security Appliance - 106021.
Informatie over het configureren van syslog voor de Cisco ASA 5500 Series adaptieve security applicatie of de Cisco PIX 500 Series security applicatie is beschikbaar in Vastlegging configureren op de Cisco security applicatie. Informatie over het configureren van syslog op de FWSM voor Cisco Catalyst 6500 Series-switches en Cisco 7600 Series-routers is beschikbaar in Configureren van bewaking en vastlegging op Cisco FWSM.
In het volgende voorbeeld, de show vastlegging | grep regex opdracht haalt syslog berichten uit de logboekbuffer op de firewall. Deze berichten verstrekken extra informatie over ontkende pakketten die op pogingen konden wijzen om de kwetsbaarheden te exploiteren die in dit document worden beschreven. Het is mogelijk om verschillende reguliere expressies te gebruiken met het grep-sleutelwoord om te zoeken naar specifieke gegevens in de geregistreerde berichten.
Aanvullende informatie over de syntaxis van reguliere expressies is beschikbaar in Opdrachtlijninterface gebruiken.
firewall#show logging | grep 106021 Sep 20 2007 10:07:01: %ASA-1-106021: Deny UDP reverse path check from 192.168.0.1 to 192.168.0.100 on interface outside Sep 20 2007 10:07:01: %ASA-1-106021: Deny UDP reverse path check from 192.168.0.1 to 192.168.0.100 on interface outside Sep 20 2007 10:07:01: %ASA-1-106021: Deny TCP reverse path check from 192.168.0.1 to 192.168.0.100 on interface outside firewall#
De opdracht Snel starten tonen kan ook het aantal pakketten identificeren dat Unicast RPF heeft laten vallen, zoals in het volgende voorbeeld:
firewall#show asp drop Frame drop: Reverse-path verify failed 11 Flow is denied by configured rule 855 Expired flow 1 Interface is down 2 Flow drop: firewall#
In het voorafgaande voorbeeld heeft Unicast RPF 11 IP-pakketten laten vallen die zijn ontvangen op interfaces met Unicast RPF geconfigureerd.
Voor extra informatie over de configuratie en het gebruik van Unicast PDF, raadpleegt u de Cisco Security Appliance Command Reference voor weergave van de asp-drop.
Cisco-inbraakpreventiesysteem
Beperken: acties voor Cisco IPS-handtekeningen
Beheerders kunnen de Cisco Inbraakpreventiesysteem (IPS) applicaties en servicesmodules gebruiken om bedreigingsdetectie te bieden en pogingen te voorkomen om de kwetsbaarheden te exploiteren die in dit document worden beschreven. Deze kwetsbaarheden kunnen worden gedetecteerd door de volgende handtekeningen:
- 5912/2010 - CUCM SIP NODIGT UDP-serviceweigering uit
- 5910/2010 - CUCM gecentraliseerde TFTP-bestandslocator voor servicebufferoverloop
5912/00 - CUCM SIP NODIGT UDP Denial of Service uit.
Beginnend met handtekeningsupdate S307 voor sensoren met Cisco IPS versie 6.x of 5.x, kunnen de kwetsbaarheden die in dit document worden beschreven worden gedetecteerd door handtekening 6912/0 (Handtekeningnaam: CUCM Gecentraliseerde TFTP File Locator Service Buffer Overflow. Signature 5912/0 is standaard ingeschakeld, activeert een Medium Severity event, heeft een Signature Fidelity Rating (SFR) van 80 en is geconfigureerd met een default event actie van Produce Alert. Vuren van 5912/0 wanneer meerdere pakketten die met UDP-poort 5060 zijn verzonden, worden gedetecteerd. Het afvuren van deze handtekening kan wijzen op een mogelijk gebruik van de in dit document beschreven kwetsbaarheden.
5910/1900 - CUCM gecentraliseerde TFTP File Locator Service Buffer Overflow.
Beginnend met handtekeningsupdate S307 voor sensoren met Cisco IPS versie 6.x of 5.x, kunnen de kwetsbaarheden die in dit document worden beschreven worden gedetecteerd door handtekening 5910/0 (Handtekeningnaam: CUCM Gecentraliseerde TFTP File Locator Service Buffer Overflow). Signature 5910/0 is standaard ingeschakeld, activeert een Medium Severity event, heeft een SFR van 75 en is geconfigureerd met een default event action van Produce Alert. Vuren van handtekening 5910/0 wanneer meerdere pakketten verzonden met TCP-poort 6970 worden gedetecteerd. Het afvuren van deze handtekening kan wijzen op een mogelijk gebruik van de in dit document beschreven kwetsbaarheden.
Beheerders kunnen Cisco IPS-sensoren configureren om een gebeurtenisactie uit te voeren wanneer een aanval wordt gedetecteerd. De geconfigureerde gebeurtenisactie voert preventieve of afschrikkende controles uit om te helpen beschermen tegen een aanval die probeert de kwetsbaarheden te exploiteren die in dit document worden beschreven.
De oprichting van de handdruk met drie richtingen van TCP wordt vereist om deze kwetsbaarheid te exploiteren, die de mogelijkheid van succesvolle aanvallen met behulp van gespoofde IP-adressen evenals valse positieve gebeurtenissen voor handtekening 5910/0 vermindert.
Omdat op UDP gebaseerde exploits eenvoudig kunnen worden gespoofd, kan een aanval die gespoofde adressen bevat ervoor zorgen dat een geconfigureerde gebeurtenisactie per ongeluk verkeer van vertrouwde bronnen ontkent. Gebeurtenisacties die blokkering via ACL’s of de shun-opdracht uitvoeren, worden doorgaans geconfigureerd op sensoren die in promiscuous mode worden ingezet.
Cisco IPS-sensoren zijn het meest effectief wanneer ze worden ingezet in inline beschermingsmodus in combinatie met het gebruik van een gebeurtenisactie. Automatische bedreigingspreventie voor Cisco IPS 6.x-sensoren die in de modus voor inline bescherming worden geïmplementeerd, biedt bedreigingspreventie tegen een aanval die probeert deze kwetsbaarheden te exploiteren. De preventie van de bedreiging wordt bereikt door een standaardopheffing die een gebeurtenis actie van Deny Connection Inline uitvoert en Waarschuwing voor teweeggebrachte handtekeningen produceert met een riskRatingValue groter dan 90. Aanvullende informatie over de risicoclassificatie en de berekening van de waarde ervan is beschikbaar in de uitleg van Cisco IPS Risk Rating.
Cisco IPS 5.x-sensoren die in inline-beschermingsmodus worden geïmplementeerd, moeten per handtekening een gebeurtenisactie hebben geconfigureerd. Alternatief, kunnen de beheerders een opheffing vormen die een gebeurtenisactie voor om het even welke handtekeningen kan uitvoeren die worden teweeggebracht en als hoog-risico bedreiging berekend. Het gebruik van de Deny Connection Inline and Produce Alert Event-actie op sensoren die in inline-beschermingsmodus worden ingezet, biedt de meest effectieve exploit-preventie.
Identificatie: gebeurtenissen voor IPS-handtekeningen
5912/00 - CUCM SIP NODIGT UDP Denial of Service uit.
IPS# show events alert
evIdsAlert: eventId=1184086129278931859 severity=medium vendor=Cisco
originator:
hostId: R4-IPS4240a
appName: sensorApp
appInstanceId: 402
time: 2007/10/17 17:14:21 2007/10/17 12:14:21 CDT
signature: description=CUCM SIP INVITE UDP Denial of Service id=5912 version=S307
subsigId: 0
sigDetails: CUCM SIP INVITE UDP Denial of Service
marsCategory: DoS/Network/UDP
interfaceGroup: vs0
vlan: 0
participants:
attacker:
addr: locality=OUT 192.168.208.64
port: 5060
target:
addr: locality=OUT 192.168.132.44
port: 5060
os: idSource=learned relevance=relevant type=linux
triggerPacket:
!--- Packet details removed
riskRatingValue: attackRelevanceRating=relevant targetValueRating=medium 60
threatRatingValue: 60
interface: ge0_0
protocol: udp
5910/1900 - CUCM gecentraliseerde TFTP File Locator Service Buffer Overflow.
IPS# show events alert
evIdsAlert: eventId=1184086129278930978 severity=medium vendor=Cisco
originator:
hostId: IPS
appName: sensorApp
appInstanceId: 402
time: 2007/10/17 17:00:57 2007/10/17 12:00:57 CDT
signature: description=CUCM Centralized TFTP File Locator Service Buffer Overflow id=5910 version=S307
subsigId: 0
sigDetails: Buffer overflow in TFTP over HTTP
marsCategory: Penetrate/BufferOverflow/Web
interfaceGroup: vs0
vlan: 0
participants:
attacker:
addr: locality=OUT 192.168.208.63
port: 32806
target:
addr: locality=OUT 192.168.132.44
port: 6970
os: idSource=learned relevance=relevant type=linux
context:
fromAttacker:
!--- Packet Details Removed
riskRatingValue: attackRelevanceRating=relevant targetValueRating=medium watchlist=25 81
threatRatingValue: 81
interface: ge0_0
protocol: tcp
Cisco-systeem voor beveiligingsbewaking, analyse en respons
Identificatie: Type en trefwoord voor Cisco Security Monitoring, Analysis en Response System Query
Het apparaat Cisco Security Monitoring, Analysis, and Response System (Cisco Security MARS) kan vragen stellen over gebeurtenissen voor de CUCM-denial of service-kwetsbaarheden met behulp van een query-type en een trefwoord. Gebruik van een trefwoord van NR-5912/0 voor IPS-handtekening 5912/0, die de SIP INVITE UDP-denial of service kwetsbaarheid kan detecteren; trefwoord van NR-5910/0 voor IPS-handtekening 5910/0, die de gecentraliseerde TFTP-overflow kwetsbaarheid van de bestandslocatiedienst kan detecteren; en een zoektype van Alle overeenkomende onbewerkte berichten op het Cisco Security MARS-apparaat zal een rapport leveren met de gebeurtenissen die zijn gemaakt door IPS2591 0/0 of 5910/0.
De volgende schermopname toont de waarden die worden gebruikt om te zoeken naar gebeurtenissen die zijn gemaakt met IPS-handtekening 5912/0 (Handtekeningnaam: CUCM SIP INVITE UDP Denial of Service) of IPS-handtekening 5910/0 (Handtekeningnaam: CUCM Gecentraliseerde TFTP File Locator Service Buffer Overflow).
Het volgende schermschot toont de vraagresultaten voor NR-5912/0 of NR-5910/0 die door het apparaat van Cisco Security MARS worden gecreëerd die een vraagtype en een vraag van het sleutelwoord regex gebruiken.
Aanvullende informatie
DIT DOCUMENT WORDT AANGEBODEN OP EEN ‘AS IS’-BASIS EN IMPLICEERT GEEN ENKEL SOORT GARANTIE, MET INBEGRIP VAN GARANTIES VAN VERKOOPBAARHEID OF GESCHIKTHEID VOOR EEN BEPAALD DOEL. UW GEBRUIK VAN DE INFORMATIE IN HET DOCUMENT OF DE MATERIALEN GEKOPPELD AAN HET DOCUMENT IS GEHEEL OP EIGEN RISICO. CISCO BEHOUDT ZICH HET RECHT VOOR OM DIT DOCUMENT TE ALLEN TIJDE TE WIJZIGEN OF TE ANNULEREN.
Revisiegeschiedenis
| Revisie 1.2 |
2007-22 oktober |
Toegewezen CVE-namen opnemen |
| Revisie 1.1 |
2007-okt-17 |
Omvat IPS handtekeningspak S307 informatie |
| Revisie 1.0 |
2007-okt-17 |
Eerste openbare publicatie |
Cisco-beveiligingsprocedures
Volledige informatie over het melden van beveiligingskwetsbaarheden in Cisco-producten, het verkrijgen van assistentie bij beveiligingsincidenten en het registreren om beveiligingsinformatie van Cisco te ontvangen, is beschikbaar op de wereldwijde website van Cisco op https://sec.cloudapps.cisco.com/security/center/resources/security_vulnerability_policy.html. Dit omvat instructies voor persvragen over Cisco-beveiligingsmeldingen. Alle Cisco-beveiligingsadviezen zijn beschikbaar op http://www.cisco.com/go/psirt.
Gerelateerde informatie
- Cisco-bulletins voor toegepaste beperking
- Uw kern beveiligen: toegangscontrolelijsten voor infrastructuurbescherming
- Transit Access Control Lists: filtering aan uw rand
- Vastlegging toegangscontrolelijst begrijpen
- Doorsturen van unicast-omgekeerde paden
- Cisco IOS NetFlow - startpagina op Cisco.com
- Cisco IOS NetFlow-witboeken
- Cisco Firewallproducten - startpagina op Cisco.com
- Unicast omgekeerde pad doorsturen in losse modus
- Gemeenschappelijke kwetsbaarheden en blootstellingen (CVE)
- Cisco 6.x inbraakpreventiesysteem
- Cisco IPS-risicoclassificatie toegelicht
- Cisco IPS 6.x downloads voor handtekeningen
- Cisco IPS-handtekeningen per release versie (alleen geregistreerde klanten)
- Cisco IPS-handtekeningen via handtekenings-ID (alleen geregistreerde klanten)
- Cisco-systeem voor beveiligingsbewaking, analyse en respons