Cisco обнаружила уязвимость нулевого дня в IOS XR

Уязвимость высокой степени опасности была обнаружена в функции протокола маршрутизации многоадресной передачи с вектором расстояния (DVMRP) программного обеспечения Cisco IOS XR.

Уязвимость вызвана недостаточным управлением очередью для пакетов протокола IGMP. В случае ее успешной эксплуатации злоумышленник удаленно может отправить созданный трафик IGMP на пораженное устройство и исчерпать память процесса. Это, в свою очередь, приведет к нестабильности других процессов (таких как внутренние и внешние протоколы маршрутизации).

Как сообщили эксперты Cisco, уязвимость нулевого дня CVE-2020-3566 была обнаружена во время рассмотрения обращения в службу поддержки Cisco TAC. Группа реагирования на инциденты, связанные с безопасностью продуктов Cisco (PSIRT), обнаружила попытку эксплуатации уязвимости 28 августа и опубликовала уведомление позже той же ночью.

Представитель компании прокомментировал данную уязвимость нулевого дня:

«Эта серьезная уязвимость затрагивает Cisco IOS XR, если продукт настроен для многоадресной маршрутизации.

Программные исправления будут доступны в ближайшее время, а в рекомендациях Cisco по безопасности описаны варианты смягчения последствий для немедленного рассмотрения. Мы просим наших клиентов ознакомиться с рекомендациями для получения полной информации».

В настоящее время нет доступных обходных путей и исправлений для этой уязвимости, но Cisco опубликовала рекомендации по безопасности. Как и в случае любой другой уязвимости, связанной с отказом в обслуживании, основной недостаток заключается в том, что устройство лишается ресурсов, в данном случае памяти. Поэтому в рекомендациях предлагалось несколько смягчений:

• Например, введение ограничения скорости, при котором клиенты должны понимать свою текущую скорость трафика IGMP и устанавливать скорость ниже текущего среднего.
• Cisco также рекомендует отключить маршрутизацию IGMP для интерфейса, для которого обработка IGMP не требуется.

Успешная эксплуатация может привести к нестабильности на целевом устройстве и, как следствие, повлиять на протоколы маршрутизации как для внутренних, так и для внешних сетей, что может привести к замедлению или повреждению сети.

Представитель Cisco сказал, что еще не наблюдал каких-либо общедоступных экспериментальных эксплойтов:

«Учитывая активные попытки эксплуатации, отмеченные Cisco, и простоту использования, мы ожидаем, что PoC будут выпущены в ближайшее время. Распределенные атаки типа «отказ в обслуживании» (DDoS) обычно легко использовать, они остаются популярными у злоумышленников и остаются очень распространенной формой атак. Уязвимости DDoS характерны для многих поставщиков, но уникальность CVE-2020-3566 заключается в том, что это нулевой день с попытками эксплуатации в дикой природе».