Cisco-bulletin over toegepaste beperking-
Dit Toegepaste Mitigation Bulletin is een begeleidend document bij het PSIRT Security Advisory Multiple Vulnerabilities in Cisco IOS Software Multicast Domain Name System en biedt identificatie- en onderdrukkingstechnieken die beheerders op Cisco-netwerkapparaten kunnen implementeren.
-
Kwetsbaarheid voor lekkage in Cisco IOS-software en DNS-gateway: deze kwetsbaarheid kan op afstand worden benut zonder verificatie en zonder interactie met de eindgebruiker. Succesvolle exploitatie van deze kwetsbaarheid kan leiden tot een geheugenlek resulterend in een toestand van de interfacewig en kan het getroffen apparaat doen herladen. De aanvalsvector voor exploitatie is via mDNS IPv4- en IPv6-pakketten met UDP-poort 5353. Een aanvaller kon deze kwetsbaarheid exploiteren met spoofed pakketten.
Aan deze kwetsbaarheid is CVE-ID CVE-2014-3357 toegekend.
Vulbaarheid van Cisco IOS-software en DNS-gateway en DOS: deze kwetsbaarheid kan op afstand worden benut zonder verificatie en zonder interactie met de eindgebruiker. Succesvolle exploitatie van deze kwetsbaarheid kan het betreffende apparaat doen crashen en resulteren in een "denial of service"-omstandigheid. De aanvalsvector voor exploitatie is via mDNS IPv4- en IPv6-pakketten met UDP-poort 5353. Een aanvaller kon deze kwetsbaarheid exploiteren met spoofed pakketten.
Deze kwetsbaarheid is toegewezen CVE-ID CVE-2014-3358.
-
Informatie over kwetsbare, onaangetaste en vaste software is beschikbaar in Cisco Security Advisory, dat beschikbaar is via de volgende link: https://sec.cloudapps.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-20140924-mdns
-
Cisco-apparaten bieden verschillende tegenmaatregelen voor deze kwetsbaarheden. Beheerders wordt aangeraden deze beveiligingsmethoden te beschouwen als algemene best practices op het gebied van beveiliging van infrastructuurapparaten en het verkeer dat het netwerk doorkruist. In dit gedeelte van het document wordt een overzicht van deze technieken gegeven.
Cisco IOS-software kan effectieve middelen voor explosiepreventie bieden door gebruik te maken van de volgende methoden:- Toegangscontrolelijsten voor douanevervoer (ACL’s)
- Unicast Reverse Path Forwarding (uRPF)
- IP-bronbeveiliging (IPSG)
- IOS NetFlow en flexibele NetFlow
De juiste implementatie en configuratie van uRPF biedt een effectieve bescherming tegen aanvallen die pakketten met IP-adressen van gespoofde bronnen gebruiken. uRPF moet zo dicht mogelijk bij alle verkeersbronnen worden geïmplementeerd.
De juiste plaatsing en configuratie van IPSG biedt een effectief middel tegen spoofingaanvallen op de toegangslaag.
Effectieve middelen voor explosiepreventie kunnen ook worden geleverd door de Cisco ASA 5500 en 5500-X Series adaptieve security applicatie, Cisco Catalyst 6500 Series ASA servicesmodule (ASASM) en de Firewall Services Module (FWSM) voor Cisco Catalyst 6500 Series Switches en Cisco 7600 Series routers met het volgende:- Toegangscontrolelijsten voor douanevervoer (ACL’s)
- Unicast Reverse Path Forwarding (uRPF)
Effectief gebruik van de gebeurtenisacties van Cisco Inbraakpreventiesysteem (IPS) biedt zichtbaarheid in en bescherming tegen aanvallen die proberen deze kwetsbaarheden te exploiteren.
-
Organisaties wordt aangeraden hun standaard risicobeoordelings- en risicobeperkingsprocessen te volgen om de potentiële impact van deze kwetsbaarheden te bepalen. Triage verwijst naar het sorteren van projecten en het prioriteren van inspanningen die waarschijnlijk het meest succesvol zullen zijn. Cisco heeft documenten geleverd die organisaties kunnen helpen bij de ontwikkeling van een op risico gebaseerde triagecapaciteit voor hun informatieveiligheidsteams. Risico Triage voor Security Vulnerability aankondigingen en Risk Triage en Prototyping kunnen organisaties helpen herhaalbare security evaluatie- en reactieprocessen te ontwikkelen.
-
Waarschuwing: de effectiviteit van elke mitigatietechniek hangt af van specifieke klantsituaties, zoals productmix, netwerktopologie, verkeersgedrag en organisatorische missie. Zoals bij elke configuratiewijziging, evalueer het effect van deze configuratie voordat u de wijziging toepast.
Voor deze hulpmiddelen is specifieke informatie over beperking en identificatie beschikbaar:- Cisco IOS-routers en -Switches
- Cisco ASA, Cisco ASM en Cisco FWSM-firewalls
- Cisco-inbraakpreventiesysteem
Cisco IOS-routers en -Switches
Beperking: toegangscontrolelijsten voor douanevervoer
Om het netwerk te beschermen tegen verkeer dat het netwerk ingaat op toegangspunten, die internetverbindingspunten, partner- en leverancierspunten of VPN-verbindingspunten kunnen omvatten, wordt beheerders aangeraden om transittoegangscontrolelijsten (tACL’s) te implementeren om beleidshandhaving uit te voeren. Beheerders kunnen een tACL construeren door alleen geautoriseerd verkeer expliciet toe te staan om het netwerk op access points binnen te gaan of door geautoriseerd verkeer toe te staan om door het netwerk te reizen in overeenstemming met bestaand beveiligingsbeleid en configuraties. Een tACL-tijdelijke oplossing kan geen volledige bescherming tegen deze kwetsbaarheden bieden wanneer de aanval afkomstig is van een vertrouwd bronadres.
Het ACL-beleid ontkent onbevoegde IPv4- en IPv6-pakketten op UDP-poort 5353 die naar getroffen apparaten worden verzonden. In het volgende voorbeeld, 224.0.0.251 en FF02::FB vertegenwoordigt de multicast adresruimte die door de getroffen apparaten wordt gebruikt. Zorg ervoor dat het vereiste verkeer voor routing en administratieve toegang is toegestaan voordat alle niet-geautoriseerde verkeer wordt ontkend. Aanvullende informatie over tACL’s staat in Transit Access Control Lists: Filtering at Your Edge.! !-- Include explicit permit statements for trusted sources that !-- require access on the vulnerable UDP port ! access-list 150 permit udp host 192.168.100.1 host 224.0.0.251 eq 5353 ! !-- The following vulnerability-specific access control entry !-- (ACE) can aid in identification of attacks ! access-list 150 deny udp any host 224.0.0.251 eq 5353 ! !-- Permit or deny all other Layer 3 and Layer 4 traffic in accordance !-- with existing security policies and configurations ! !-- Explicit deny for all other IP traffic ! access-list 150 deny ip any any ! ! !-- Create the corresponding IPv6 tACL ! ipv6 access-list IPv6-Transit-ACL-Policy ! !-- Include explicit permit statements for trusted sources that !-- require access on the vulnerable UDP port ! permit udp host 2001:DB8::100:1 host FF02::FB eq 5353 ! !-- The following vulnerability-specific ACE can !-- aid in identification of attacks to global and !-- link-local addresses ! deny udp any host FF02::FB eq 5353 ! !-- Permit or deny all other Layer 3 and Layer 4 traffic in !-- accordance with existing security policies and configurations !-- and allow IPv6 neighbor discovery packets, which !-- include neighbor solicitation packets and neighbor !-- advertisement packets ! permit icmp any any nd-ns permit icmp any any nd-na ! !-- Explicit deny for all other IPv6 traffic ! deny ipv6 any any ! ! !-- Apply tACLs to interface in the ingress direction ! interface GigabitEthernet0/0 ip access-group 150 in ipv6 traffic-filter IPv6-Transit-ACL-Policy in
Merk op dat het filtreren met een lijst van de interfacetoegang de transmissie van onbereikbare berichten ICMP terug naar de bron van het gefilterde verkeer zal veroorzaken. Het genereren van deze berichten zou het ongewenste effect kunnen hebben van het verhogen van CPU-gebruik op het apparaat. In Cisco IOS-software is de onbereikbare ICMP-generatie standaard beperkt tot één pakket per 500 milliseconden. ICMP onbereikbare berichtgeneratie kan worden uitgeschakeld met de opdrachten voor interfaceconfiguratie zonder ip onbereikbaar en zonder ipv6 onbereikbaar. ICMP-onbereikbare snelheidsbeperking kan van de standaardinstelling worden gewijzigd met behulp van de globale configuratieopdrachten ip icmp rate-limit onbereikbare interval-in-ms en ipv6 icmp error-interval interval-in-ms.
Zie het witboek Cisco Security Intelligence Operations Identificeert de effectiviteit van beveiligingsbeperkingen met Cisco IOS-software voor informatie over het gebruik van de Cisco IOS-opdrachtregelinterface om de effectiviteit van de beveiligingsbeperkingen te meten.
Unicast doorsturen van omgekeerde paden
De kwetsbaarheden die in dit document worden beschreven, kunnen worden benut door gespoofde IP-pakketten. Beheerders kunnen Unicast Reverse Path Forwarding (uRPF) implementeren en configureren als een beschermingsmechanisme tegen spoofing.
uRPF is ingesteld op interfaceniveau en kan pakketten detecteren en neerzetten die geen verifieerbaar IP-bronadres hebben. Beheerders dienen niet te vertrouwen op uRPF om volledige bescherming tegen spoofing te bieden, omdat spoofed-pakketten het netwerk via een uRPF-enabled interface kunnen binnenkomen als er een geschikte retourroute naar het bron-IP-adres bestaat. Beheerders wordt aangeraden om ervoor te zorgen dat de juiste uRPF-modus (los of strikt) wordt geconfigureerd tijdens de implementatie van deze functie, omdat legitiem verkeer dat het netwerk doorkruist kan worden uitgeschakeld. In een ondernemingsmilieu, kan uRPF bij de rand van Internet en de interne toegangslaag op gebruiker-ondersteunende Layer 3 worden toegelaten interfaces.
Voor extra informatie over de configuratie en het gebruik van uRPF, raadpleegt u het Witboek Understanding Unicast Reverse Path Forwarding Cisco Security Intelligence Operations.
IP-bronbeveiligingIP Source Guard (IPSG) is een beveiligingsfunctie die IP-verkeer op niet-gerouteerde, Layer 2-interfaces beperkt door pakketten te filteren op basis van de bindende database met DHCP-snooping en handmatig ingestelde IP-bronbindingen. Beheerders kunnen IPSG gebruiken om aanvallen te voorkomen van een aanvaller die probeert pakketten te parasiteren door het IP-bronadres en/of het MAC-adres te vervalsen. Wanneer correct geïmplementeerd en geconfigureerd, biedt IPSG in combinatie met de strikte modus uRPF de meest effectieve bescherming tegen spoofing voor de kwetsbaarheden die in dit document worden beschreven.
Aanvullende informatie over de implementatie en configuratie van IPSG is te vinden in Configureren DHCP-functies en IP Source Guard.
Identificatie: IPv4 en IPv6 Traffic Flow Identification met Cisco IOS NetFlow
Beheerders kunnen Cisco IOS NetFlow en Cisco IOS Flexibele NetFlow configureren op Cisco IOS-routers en -switches als hulp bij de identificatie van IPv4- en IPv6-verkeersstromen die mogelijk pogingen zijn om deze kwetsbaarheden te exploiteren. De beheerders worden geadviseerd om stromen te onderzoeken om te bepalen of zij pogingen zijn om deze kwetsbaarheid te exploiteren of of zij wettige verkeersstromen zijn. Beheerders kunnen filters ook configureren om verkeer op individuele poorten te markeren om verkeersstromen te identificeren die pogingen kunnen zijn om de in dit document vermelde kwetsbaarheden te exploiteren. Raadpleeg het gedeelte Cisco IOS NetFlow en Cisco IOS flexibele NetFlow voor meer informatie in het artikel waarin de effectiviteit van beveiligingsbeperkingen met Cisco IOS-software wordt geïdentificeerd.Cisco ASA, Cisco ASM en Cisco FWSM-firewalls
Beperking: toegangscontrolelijsten voor douanevervoer
Om het netwerk te beschermen tegen verkeer dat het netwerk ingaat op toegangspunten die internetverbindingspunten, partner- en leverancierverbindingen of VPN-verbindingspunten kunnen omvatten, wordt beheerders aangeraden om tACL’s te implementeren om beleidshandhaving uit te voeren. Beheerders kunnen een tACL construeren door alleen geautoriseerd verkeer expliciet toe te staan om het netwerk op access points binnen te gaan of door geautoriseerd verkeer toe te staan om door het netwerk te reizen in overeenstemming met bestaand beveiligingsbeleid en configuraties. Een tACL-tijdelijke oplossing kan geen volledige bescherming tegen deze kwetsbaarheden bieden wanneer de aanval afkomstig is van een vertrouwd bronadres.
Het ACL-beleid ontkent onbevoegde IPv4- en IPv6-pakketten op UDP-poort 5353 die naar getroffen apparaten worden verzonden. In het volgende voorbeeld, 224.0.0.251 en FF02::FB vertegenwoordigt de multicast adresruimte die door de getroffen apparaten wordt gebruikt, en de hosts op 192.168.100.1 en 2001:DB8::100:1 worden beschouwd als vertrouwde bronnen die toegang tot de getroffen apparaten vereisen. Zorg ervoor dat het vereiste verkeer voor routing en administratieve toegang is toegestaan voordat alle niet-geautoriseerde verkeer wordt ontkend.
Zie Toegangscontrolelijsten voor doorvoer voor aanvullende informatie over tACL’s: filtering bij uw edge.
! !-- Include explicit permit statements for trusted sources !-- that require access on the vulnerable UDP port ! access-list tACL-Policy extended permit udp host 192.168.100.1 host 224.0.0.251 eq 5353 ! !-- The following vulnerability-specific access control entry !-- (ACE) can aid in identification of attacks ! access-list tACL-Policy extended deny udp any host 224.0.0.251 eq 5353 ! !-- Permit or deny all other Layer 3 and Layer 4 traffic in accordance !-- with existing security policies and configurations ! !-- Explicit deny for all other IP traffic ! access-list tACL-Policy extended deny ip any host 224.0.0.251 eq 5353 ! ! !-- Create the corresponding IPv6 tACL ! ! !-- Include explicit permit statements for trusted sources that !-- require access on the vulnerable UDP port ! ipv6 access-list IPv6-tACL-Policy permit udp host 2001:DB8::100:1 host FF02::FB ! !-- The following vulnerability-specific ACE can !-- aid in identification of attacks ! ipv6 access-list IPv6-tACL-Policy deny udp any host FF02::FB eq 5353 ! !-- Permit or deny all other Layer 3 and Layer 4 traffic in !-- accordance with existing security policies and configurations ! ! !-- Explicit deny for all other IPv6 traffic ! ipv6 access-list IPv6-tACL-Policy deny ip any any ! ! !-- Apply tACLs to interfaces in the ingress direction ! access-group tACL-Policy in interface outside access-group IPv6-tACL-Policy in interface outside
Zie Cisco Security Intelligence Operations Identification of Security Exploits met Cisco ASA, Cisco ASASM en Cisco FWSM Firewalls voor informatie over het gebruik van de opdrachtregel voor Cisco-firewalls om de effectiviteit van tACL’s te meten.
Vanaf Cisco ASA-softwarerelease 9.0 ondersteunen ACL’s (namelijk Unified ACL’s) IPv4- en IPv6-adressen. Er kan een combinatie van IPv4- en IPv6-adressen worden gespecificeerd voor de bron en de bestemming van de ACL. De Any4 en Any6-trefwoorden werden toegevoegd om respectievelijk IPv4-alleen en IPv6-alleen verkeer te vertegenwoordigen.
De IPv4- en IPv6-toegangslijsten (ACE’s) in de IPv4- en IPv6-ACL’s van deze sectie kunnen ook in één Unified ACL worden opgenomen.
Zie het gedeelte Uitgebreide toegangslijsten toevoegen van de Cisco ASA-configuratiehandleiding voor extra informatie over Unified ACL’s.
Beperking: bescherming tegen spoofing met Unicast Reverse Path Forwarding
De kwetsbaarheden die in dit document worden beschreven, kunnen worden benut door gespoofde IP-pakketten. Beheerders kunnen uRPF implementeren en configureren als een beschermingsmechanisme tegen spoofing.
uRPF is ingesteld op interfaceniveau en kan pakketten detecteren en neerzetten die geen verifieerbaar IP-bronadres hebben. Beheerders dienen niet te vertrouwen op uRPF om volledige bescherming tegen spoofing te bieden, omdat spoofed-pakketten het netwerk via een uRPF-enabled interface kunnen binnenkomen als er een geschikte retourroute naar het bron-IP-adres bestaat. In een ondernemingsmilieu, kan uRPF bij de rand van Internet en bij de interne toegangslaag op gebruiker-ondersteunende Layer 3 interfaces worden toegelaten.
Voor extra informatie over de configuratie en het gebruik van uRPF, raadpleegt u de Cisco Security Appliance Command Reference for IP om het omgekeerde pad te verifiëren en het Unicast Reverse Path Forwarding Cisco Security Intelligence Operations-witboek te begrijpen.
Raadpleeg voor informatie over het gebruik van de interface van de opdrachtregel voor firewalls om de effectiviteit van spoofingbescherming te meten de Cisco Security Intelligence Operations Identification of Security Exploits met Cisco ASA, Cisco ASM en Cisco FWSM Firewalls.
Cisco-inbraakpreventiesysteem
Beperken: Cisco IPS-handtekeningtabel
Beheerders kunnen de Cisco IPS-apparaten en servicesmodules gebruiken om bedreigingsdetectie te bieden en pogingen te voorkomen om de kwetsbaarheid te exploiteren die in dit document wordt beschreven. De volgende tabel geeft een overzicht van de CVE-identificatiecode en de respectievelijke IPS-handtekening van Cisco die gebeurtenissen op potentiële pogingen om deze kwetsbaarheid te exploiteren zullen activeren.
CVE-id Handtekeningrelease Handtekening-ID Handtekeningnaam Ingeschakeld Ernst Fidelity* CVE-2014-357 S823 4565-0 Misvormde mDNS-respons Ja Gemiddeld 85 * Fidelity wordt ook aangeduid als Signature Fidelity Rating (SFR) en is de relatieve maat van de nauwkeurigheid van de handtekening (vooraf gedefinieerd). De waarde varieert van 0 tot 100 en wordt ingesteld door Cisco Systems, Inc.
Beheerders kunnen Cisco IPS-sensoren configureren om een gebeurtenisactie uit te voeren wanneer een aanval wordt gedetecteerd. De geconfigureerde actie van de gebeurtenis voert preventieve of afschrikkende controles uit om te helpen beschermen tegen een aanval die probeert de kwetsbaarheid te exploiteren die in de vorige tabel is vermeld.
Explosies die gespoofde IP-adressen gebruiken kunnen ervoor zorgen dat een geconfigureerde gebeurtenisactie per ongeluk verkeer van vertrouwde bronnen ontkent.
Cisco IPS-sensoren zijn het meest effectief wanneer ze worden ingezet in inline beschermingsmodus in combinatie met het gebruik van een gebeurtenisactie. Automatische bedreigingspreventie voor Cisco IPS 7.x- en 6.x-sensoren die in de inline-beschermingsmodus worden geïmplementeerd, biedt bedreigingspreventie tegen een aanval die probeert te profiteren van de kwetsbaarheid die in dit document wordt beschreven. De preventie van de bedreiging wordt bereikt door een standaardopheffing die een gebeurtenisactie voor teweeggebrachte handtekeningen met een riskRatingValue groter dan 90 uitvoert.
Voor aanvullende informatie over de risicorating en de berekening van de dreigingswaardering, de referentie Risicorating en de dreigingswaardering: Vereenvoudig IPS-beleidsbeheer.
Zie Identificatie van kwaadaardig verkeer met Cisco Security Manager voor informatie over het gebruik van Cisco Security Manager om de activiteit van een Cisco IPS-sensor te bekijken.
-
DIT DOCUMENT WORDT AANGEBODEN OP EEN ‘AS IS’-BASIS EN IMPLICEERT GEEN ENKEL SOORT GARANTIE, MET INBEGRIP VAN GARANTIES VAN VERKOOPBAARHEID OF GESCHIKTHEID VOOR EEN BEPAALD DOEL. UW GEBRUIK VAN DE INFORMATIE IN HET DOCUMENT OF DE MATERIALEN GEKOPPELD AAN HET DOCUMENT IS GEHEEL OP EIGEN RISICO. CISCO BEHOUDT ZICH HET RECHT VOOR OM DIT DOCUMENT TE ALLEN TIJDE TE WIJZIGEN OF TE ANNULEREN.
-
Minder tonenVersie Beschrijving doorsnede Datum 1 Eerste vrijgave
2014-september-24 16:02 GMT
-
Volledige informatie over het melden van beveiligingskwetsbaarheden in Cisco-producten, het verkrijgen van assistentie bij beveiligingsincidenten en het registreren om beveiligingsinformatie van Cisco te ontvangen, is beschikbaar op de wereldwijde website van Cisco op https://sec.cloudapps.cisco.com/security/center/resources/security_vulnerability_policy.html. Dit omvat instructies voor persvragen over Cisco-beveiligingsmeldingen. Alle Cisco-beveiligingsadviezen zijn beschikbaar op http://www.cisco.com/go/psirt.
-
De beveiligingskwetsbaarheid is van toepassing op de volgende combinaties van producten.
Primaire producten Cisco-software IOS 15.1SY (15.1(2)SY, 15.1(2)SY1) | 15.2E (15.2(1)E, 15.2(1)E1) | 15,4S (15,4(1)S) | 15,4T (15.4(1)T, 15.4(1)T1) Cisco IOS XE-software 2.1 (2.1.0, 2.1.1, 2.1.2) | 2,2 (2,2,1, 2,2,2) | 2.3 (2.3.0, 2.3.0t, 2.3.1t, 2.3.2) | 2,4 (2,4,1) | 2,5 (2,5,0) | 2,6 (2,6.0, 2.6.1, 2.6.2) | 3.1S (3.1.0S, 3.1.1S, 3.1.2S, 3.1.3S) | 3,2S (3,2,0S, 3,2,1S, 3,2,2S) | 3,3S (3,3,0S, 3,3,1S, 3,3,2S) | 3,3SE (3,3,0SE, 3,3,1SE) | 3.4S (3.4.0S, 3.4.1S, 3.4.2S, 3.4.3S, 3.4.4S, 3.4.5S, 3.4.6S) | 3,4SG (3,4,0SG, 3,4,1SG, 3,4,2SG) | 3,5 E (3,5 E) | 3.5S (basis, 3.5.0S, 3.5.1S, 3.5.2S) | 3.6S (basis, 3.6.0S, 3.6.1S, 3.6.2S) | 3.7S (basis, 3.7.0S, 3.7.1S, 3.7.2S, 3.7.3S, 3.7.4S) | 3.8S (basis, 3.8.0s, 3.8.1S) | 3,9 S (3,9 S, 3,9,1 S) | 3,10S (3,10,0aS) | 3,11S (3,11,0S)
Verwante producten
-
DIT DOCUMENT WORDT AANGEBODEN OP EEN ‘AS IS’-BASIS EN IMPLICEERT GEEN ENKEL SOORT GARANTIE, MET INBEGRIP VAN GARANTIES VAN VERKOOPBAARHEID OF GESCHIKTHEID VOOR EEN BEPAALD DOEL. UW GEBRUIK VAN DE INFORMATIE IN HET DOCUMENT OF DE MATERIALEN GEKOPPELD AAN HET DOCUMENT IS GEHEEL OP EIGEN RISICO. CISCO BEHOUDT ZICH HET RECHT VOOR OM WAARSCHUWINGEN TE ALLEN TIJDE TE WIJZIGEN OF BIJ TE WERKEN.
Een standalone kopie of parafrase van de tekst van dit document die de distributie-URL weglaat, is een ongecontroleerde kopie en kan belangrijke informatie missen of feitelijke fouten bevatten. De informatie in dit document is bedoeld voor eindgebruikers van Cisco-producten