318 модела рутери на Cisco съдържат уязвимост, използвана от ЦРУ

Cisco публикува официална информация (бюлетин cisco-sa-20170317-cmp) за критична уязвимост в протокола Cluster Management Protocol (CMP), включен в софтуера Cisco IOS XE. Уязвимостта CVE-2017-3881 дава възможност за изпълнение на отдалечен код със завишени права в мрежовата операционна система Cisco IOS на всеки отдалечен потребител (стига да знае за този бъг).

Този бъг със сигурност се използва от ЦРУ, което се вижда от документите Vault 7 (Year Zero). Самите специалисти на Cisco казаха, че са разбрали за този бъг от публикуваните от WikiLeaks материали.

CMP протокола се базира на telnet протокола, но поддържа специфични параметри. Бъгът е свързан с именно тези специфични за CMP параметри.

Cisco публикува инструкция за проверка на наличието на CMP в мрежовите устройства на компанията.

Проверката за поддръжката на CMP протокола става чрез следната команда:

show subsys class protocol | include ^cmp

Ако CMP не се поддържа, отговорът ще бъде следният:

Switch#show subsys class protocol | include ^cmp
Switch#

А ако подсистемата CMP се поддържа, то отговорът ще бъде:

Switch#show subsys class protocol | include ^cmp
cmp Protocol 1.000.001
Switch#

Ако рутерът поддържа CMP е необходимо да се провери, дали се приема входяща telnet връзка:

show running-config | include ^line vty|transport input

Cisco провери версиите на Cisco IOS XE Software и публикува пълен списък, съдържащ рутери и други мрежови устройства, които съдържат тази уязвимост. Това са 264 рутера от фамилията Catalyst, 40 промишлени рутера и 14 други устройства.

Засега няма как да се избегне тази уязвимост, освен изцяло да се изключат входящите telnet съединения и да остави SSH. Именно такава конфигурация се препоръчва от Cisco. Компанията обеща, че съвсем скоро ще представи обновяване.