0371-63319761
時(shí)間：2018-04-09
2018年3月28日，Cisco發(fā)布了一個(gè)遠(yuǎn)程代碼執(zhí)行嚴(yán)重漏洞通：。通告了思科IOS和IOS-XE系統(tǒng)的配置管理類(lèi)協(xié)議Cisco Smart Install（Cisco私有協(xié)議）代碼中存在一處緩沖區(qū)棧溢出漏洞，漏洞編號(hào)為CVE-2018-0171。攻擊者無(wú)需用戶驗(yàn)證即可向遠(yuǎn)端Cisco設(shè)備的 TCP 4786 端口發(fā)送精心構(gòu)造的惡意數(shù)據(jù)包，觸發(fā)漏洞造成設(shè)備遠(yuǎn)程執(zhí)行Cisco系統(tǒng)命令或拒絕服務(wù)（DoS）。
漏洞相關(guān)的技術(shù)細(xì)節(jié)和驗(yàn)證程序已經(jīng)公開(kāi)，且互聯(lián)網(wǎng)上受影響的主機(jī)數(shù)量非常大。由于此漏洞影響底層網(wǎng)絡(luò)設(shè)備，且漏洞相關(guān)PoC已經(jīng)公開(kāi)并證實(shí)可用，極有可能構(gòu)成巨大的現(xiàn)實(shí)威脅。故360威脅情報(bào)中心發(fā)布此通告提醒用戶和企業(yè)采取必要防御應(yīng)對(duì)措施。
漏洞概要
| 漏洞名稱(chēng) | CVE-2018-0171 Cisco Smart Install命令執(zhí)行漏洞 |
| 威脅類(lèi)型 | 遠(yuǎn)程代碼執(zhí)行 |
| 威脅等級(jí) | 高 |
| 漏洞ID | CVE-2018-0171 |
| 漏洞利用條件 | 開(kāi)啟了Cisco Smart Install管理協(xié)議，且模式為client模式 |
| 漏洞利用場(chǎng)景 | 攻擊者無(wú)需用戶驗(yàn)證即可向遠(yuǎn)端Cisco設(shè)備的TCP 4786端口發(fā)送精心構(gòu)造的惡意數(shù)據(jù)包，觸發(fā)漏洞造成設(shè)備遠(yuǎn)程執(zhí)行Cisco系統(tǒng)命令或拒絕服務(wù)（DoS）。 |
| 服務(wù)是否默認(rèn)開(kāi)啟 | 是 |
| 受影響系統(tǒng)及應(yīng)用版本 |
確認(rèn)受影響的型號(hào)： Catalyst 4500 Supervisor Engines Cisco Catalyst 3850 Series Switches Cisco Catalyst 2960 Series Switches 確認(rèn)受影響的型號(hào)： Catalyst 4500 Supervisor Engines Cisco Catalyst 3850 Series Switches Cisco Catalyst 2960 Series Switches 可能受影響的設(shè)備型號(hào)： Catalyst 4500 Supervisor Engines Catalyst 3850 Series Catalyst 3750 Series Catalyst 3650 Series Catalyst 3560 Series Catalyst 2960 Series Catalyst 2975 Series IE 2000 IE 3000 IE 3010 IE 4000 IE 4010 IE 5000 SM-ES2 SKUs SM-ES3 SKUs NME-16ES-1G-P SM-X-ES3 SKUs |
| 不受影響影響系統(tǒng)及應(yīng)用版本 | 未開(kāi)啟Cisco Smart Install管理協(xié)議或模式為Director模式的Cisco設(shè)備均不受影響。 |
漏洞描述
該漏洞存在于思科IOS和IOS-XE系統(tǒng)的配置管理類(lèi)協(xié)議Cisco Smart Install一處緩沖區(qū)棧內(nèi)。攻擊者無(wú)需認(rèn)證，遠(yuǎn)程向開(kāi)啟TCP 4786 且為client模式的Cisco設(shè)備端口發(fā)送精心構(gòu)造的畸形數(shù)據(jù)包，會(huì)導(dǎo)致smi_ibc_handle_ibd_init_discovery_msg函數(shù)在處理該數(shù)據(jù)包時(shí)觸發(fā)緩沖區(qū)棧溢出造成設(shè)備拒絕服務(wù)（DoS）或遠(yuǎn)程執(zhí)行Cisco系統(tǒng)命令。
影響面評(píng)估
360威脅情報(bào)中心已經(jīng)確認(rèn)公開(kāi)的PoC利用代碼有效，且該漏洞整體影響面非常大，綜合分析威脅等級(jí)為高。
處置建議
遠(yuǎn)程自查方法A：
確認(rèn)目標(biāo)設(shè)備是否開(kāi)啟4786/TCP端口，如果開(kāi)啟則表示可能受到影響。
比如用nmap掃描目標(biāo)設(shè)備端口：
nmap -p T:4786 192.168.1.254
遠(yuǎn)程自查方法B：
使用Cisco提供的腳本探測(cè)是否開(kāi)放Cisco Smart Install協(xié)議，若開(kāi)啟則可能受到影響。
# pythonsmi_check.py -i 192.168.1.254
[INFO] Sending TCP probe to targetip:4786
[INFO] Smart Install Client feature active on targetip:4786
[INFO]targetip is affected。
本地自查方法A：（需登錄設(shè)備）
此外，可以通過(guò)以下命令確認(rèn)是否開(kāi)啟 Smart Install Client 功能：
switch>show vstack config
Role: Client (SmartInstall enabled)
Vstack Director IP address: 0.0.0.0
switch>show tcp brief all
TCB Local Address Foreign Address (state)
0344B794 *.4786 *.* LISTEN
0350A018 *.443 *.* LISTEN
03293634 *.443 *.* LISTEN
03292D9C *.80 *.* LISTEN
03292504*.80 *.* LISTEN
本地自查方法B：（需登錄設(shè)備）
switch>show version
將回顯內(nèi)容保存在a.txt中，并上傳至Cisco的Cisco IOS Software Checker進(jìn)行檢測(cè)。
檢測(cè)地址：https://tools.cisco.com/security/center/softwarechecker.x
修復(fù)方法
升級(jí)補(bǔ)丁：
思科官方已發(fā)布針對(duì)此漏洞的補(bǔ)丁但未提供下載鏈接，請(qǐng)聯(lián)系思科獲取補(bǔ)丁。
臨時(shí)處置措施：(關(guān)閉協(xié)議)
switch#conf t
switch(config)#no vstack
switch(config)#do wr
switch(config)#exit
檢查端口已經(jīng)關(guān)掉：
switch>show tcp brief all
TCB Local Address Foreign Address (state)
0350A018 *.443 *.* LISTEN
03293634 *.443 *.* LISTEN
03292D9C *.80 *.* LISTEN
03292504*.80 *.* LISTEN
參考資料
https://tools.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-20180328-smi2#fixed
https://embedi.com/blog/cisco-smart-install-remote-code-execution/
Copyright © 2017-2024 河南中瀚安全技術(shù)有限公司 版權(quán)所有 豫ICP備18011434號(hào)-1 豫公網(wǎng)安備 41019702002746號(hào)
在線咨詢
在線咨詢
0371-63319761