设为首页收藏本站 开启辅助访问
搜索
    查看: 946|回复: 0

    [安全新闻] Cisco Smart Install存在远程命令执行漏洞

    [复制链接]
    发表于 2018-4-9 11:04:08 | 显示全部楼层 |阅读模式
    2018年3月29日,有媒体曝光了Cisco Smart Install远程命令执行漏洞(CNVD-2018-06774,对应CVE-2018-0171)。综合利用上述漏洞,允许未经身份验证的远程攻击者向远端Cisco设备的 TCP 4786 端口发送精心构造的恶意数据包,触发漏洞造成设备远程执行Cisco系统命令或拒绝服务(DoS)。目前,漏洞利用代码已公开,且厂商已发布漏洞修复版本。

    一、漏洞情况分析
    Smart Install 作为一项即插即用配置和镜像管理功能,为新加入网络的交换机提供零配置部署,实现了自动化初始配置和操作系统镜像加载的过程,同时还提供配置文件的备份功能。
    Cisco SmartInstall存在远程命令执行漏洞,SMI IBC Server Process进程中包含了Smart Install Client的实现代码。Smart InstallClient在TCP(4786)端口上开启服务(默认开启),用来与 Smart Install Director 交互。当服务处理一段特殊构造的恶意信息ibd_init_discovery_msg时,因为未能检查拷贝到固定大小缓冲区的数据尺寸,大小和数据是直接从网络数据包中获得的,并由攻击者控制,smi_ibc_handle_ibd_init_discovery_msg函数在处理该数据包时会触发缓冲区栈溢出造成设备拒绝服务(DoS)或远程执行Cisco系统命令。
    CNVD对上述漏洞的综合评级为“高危”。

    二、漏洞影响范围
    支持 SmartInstall Client模式的交换机受此漏洞影响,包括但不限于以下:
    Catalyst 4500Supervisor Engines
    Catalyst 3850Series
    Catalyst 3750Series
    Catalyst 3650Series
    Catalyst 3560Series
    Catalyst 2960Series
    Catalyst 2975Series
    IE 2000
    IE 3000
    IE 3010
    IE 4000
    IE 5000
    SM-ES2 SKUs
    SM-ES3 SKUs
    NME-16ES-1G-P
    SM-X-ES3 SKUs
    根据CNVD技术组成员单位知道创宇公司提供的分析数据显示,全球Cisco Smart Install系统规模为14.3万;按国家分布情况来看,用户量排名前三的分别是美国(29%)、中国(11%)和日本(6%)。

    三、漏洞修复建议
    处置建议:
    远程自查方法A:
    确认目标设备是否开启4786/TCP端口,如果开启则表示可能受到影响。
    比如用nmap扫描目标设备端口:
    nmap -p T:4786 192.168.1.254
    远程自查方法B:
    使用Cisco提供的脚本探测是否开放Cisco Smart Install协议,若开启则可能受到影响。
    # pythonsmi_check.py -i 192.168.1.254
    本地自查方法A:(需登录设备)
    此外,可以通过以下命令确认是否开启 Smart Install Client 功能:
    switch>show vstack config
    Role:Client (SmartInstall enabled)
    Vstack Director IP address: 0.0.0.0
    switch>show tcp brief all
    TCB Local Address Foreign Address (state)
    0344B794 *.4786 *.* LISTEN
    0350A018 *.443 *.* LISTEN
    03293634 *.443 *.* LISTEN
    03292D9C *.80 *.* LISTEN
    03292504*.80 *.* LISTEN
    本地自查方法B:(需登录设备)
    switch>show version
    将回显内容保存在a.txt中,并上传至Cisco的CiscoIOS Software Checker进行检测。
    检测地址:https://tools.cisco.com/security/center/softwarechecker.x
    修复方法:
    升级补丁:
    思科官方已发布针对此漏洞的补丁但未提供下载链接,详细修复方案如下:
    临时处置措施:(关闭协议)
    switch#conf t
    switch(config)#no vstack
    switch(config)#do wr
    switch(config)#exit
    检查端口已经关掉:
    switch>show tcp brief all
    TCB Local Address Foreign Address (state)
    0350A018 *.443 *.* LISTEN
    03293634 *.443 *.* LISTEN
    03292D9C *.80 *.* LISTEN
    03292504*.80 *.* LISTEN

    回复

    使用道具 举报

    您需要登录后才可以回帖 登录 | 立即注册

    本版积分规则

    QQ|小黑屋|Archiver|手机版|安全狗论坛-汇聚安全的力量 ( 闽ICP备14014139号-1  

    GMT+8, 2018-7-19 06:19 , Processed in 0.123311 second(s), 22 queries .

    Powered by Discuz! X3.2

    © 2001-2013 Comsenz Inc.

    快速回复 返回顶部 返回列表