CERT-FI haavoittuvuustiedote 082/2003

16.12.2003

Haavoittuvuuksia Cisco PIX ja FWSM -palomuuritoteutuksissa


Kohde:	- verkon aktiivilaitteet	Lisätietoja
Hyökkäystapa:	- ilman kirjautumista - etäkäyttö - ilman käyttäjän toimia	Lisätietoja
Hyväksikäyttö:	- palvelunestohyökkäys	Lisätietoja
Ratkaisu:	- korjaava ohjelmistopäivitys	Lisätietoja

Cisco PIX on Ciscon erillislaitteena toimitettava palomuurijärjestelmä. Cisco Firewall Service Module (FWSM) on Catalyst-kytkimiin tarkoitettu palomuurimoduli. Cisco PIX -palomuurijärjestelmien ja Firewall Service Module (FWSM) -palomuurimodulin ohjelmisto kaatuu ja uudelleenkäynnistyy, jos palomuuriohjelmistossa on aktivoitu SNMP-tuki käyttöön ja järjestelmä vastaanottaa SNMPv3 -paketin. Haavoittuvuutta hyväksikäyttäen palomuurijärjestelmään voidaan kohdistaa palvelunestohyökkäys.

Cisco PIX -palomuurijärjestelmään määritelty VPNC IPSEc -tunnelointiyhteys sulkeutuu, jos toinen IPSec -asiakasohjelma yrittää yhteyttä palomuurijärjestelmän IPSec-asiakasohjelman ulkorajapintaan. Haavoittuvuutta hyväksikäyttäen palomuurijärjestelmään voidaan kohdistaa palvelunestohyökkäys.

Cisco FWSM -palomuurimodulin ohjelmisto voi kaatua puskurinylivuototilanteeseen ja uudelleenkäynnistyä käsiteltäessä HTTP-pohjaisia autentikointipyyntöjä käyttäen TACACS+ tai RADIUS -autentikointijärjestelmää. Haavoittuvuutta hyväksikäyttäen palomuurijärjestelmään voidaan kohdistaa palvelunestohyökkäys.

HAAVOITTUVAT OHJELMISTOT:

SNMPv3 -haavoittuvuus: Cisco PIX -palomuurijärjestelmä varustettuna ohjelmistoversiolla 6.3.1, 6.2.2 tai vanhemmalla, 6.1.4 tai vanhemmalla, 5.x.x tai vanhemmalla. Cisco FWSM -palomuurimodulin ohjelmistoversiolla 1.1.2 tai vanhemmalla. Järjestelmä on haavoittuva, jos SNMP-palvelu on aktivoitu "snmp server host <ip_osoite>" -komennolla.
VPNC -haavoittuvuus: CISCO PIX -palomuurijärjestelmä varustettuna ohjelmistoversiolla 6.2.3 tai vahnempi. Ohjelmistoversiot 6.1.x ja 5.x.x eivät ole haavoittuvia, niissä ei ole VPNC-toiminnallisuutta
HTTP-autentikointihaavoittuvuus: Cisco FWSM -palomuurimodulin varustettuna ohjelmistoversiolla 1.1.2 tai vanhemmalla.

RATKAISU- JA RAJOITUSMAHDOLLISUUDET:

Päivitä PIX-palomuurijärjestelmän tai FWSM -palomuurimodulin ohjelmisto Ciscon turvatiedotteiden

http://www.cisco.com/warp/public/707/cisco-sa-20031215-pix.shtml

http://www.cisco.com/warp/public/707/cisco-sa-20031215-fwsm.shtml

ohjeiden mukaisesti.

SNMP-haavoittuvuus voidaan estää ottamalla SNMP-toiminnallisuus pois käytöstä tai rajoittaa rajaamalla pääsyä SNMP-toiminnallisuudella varustettuihin verkkorajapintoihin vain luotettuihin järjestelmiin palomuurin pääsylistoilla.

LISÄTIETOA:

http://www.cisco.com/warp/public/707/cisco-sa-20031215-pix.shtml

http://www.cisco.com/warp/public/707/cisco-sa-20031215-fwsm.shtml

PÄIVITYSHISTORIA:

16.12.2003: Julkaistu
17.12.2003: Korjattu haavoittuvuudelle alttiit järjestelmät, FWSM versio 1.1.2 tai vanhempi on haavoittuva, 1.1.3 on korjattu versio

Sivua päivitetty 30.07.2007

Tulostusversio