Nmap mostra que o CCM é sensível ao ataque SWEET32

Introduction

Este documento descreve um problema em que o Nmap mostra que o Cisco Call Manager (CCM) é susceptível ao ataque SWEET32.

Problema

Quando você executa o Nmap 4.70+, você vê mensagens de aviso sobre o Triple Data Encryption Standard (3DES) e o IDEA que mostram que ele é vulnerável ao SWEET32.

nmap -sV --script ssl-enum-ciphers -p 443 <ip_of_ccm>

As criptografias de 64 bits da semana foram consideradas susceptíveis a um ataque conhecido como Sweet32. Novas versões do Nmap incluirão uma verificação para ver se alguma cifra está habilitada e susceptível. Por causa disso, a execução da verificação do Nmap no CCM exibe este aviso:

64-bit block cipher 3DES vulnerable to SWEET32 attack

64-bit block cipher IDEA vulnerable to SWEET32 attack

Solução

Esse problema não está diretamente relacionado ao CloudCenter, mas ao servidor Tomcat que o cloudcenter usa. Deve-se observar que a verificação do Nmap não indica que a Máquina virtual (VM) está vulnerável ao ataque, mas apenas afirma que usa uma cifra vulnerável. Há outras variáveis que devem estar em vigor para que o ataque seja bem-sucedido que o Nmap não testa.

Bilhete principal; O CORE-15086 foi criado em relação a isso. A solução ainda está em processo e a versão do OpenSSL 1.1.0+ é atualizada, o que, por sua vez, corrigirá a falha.

A equipe de engenharia afirmou que a mensagem de erro pode ser ignorada com segurança, no entanto, se necessário, há uma solução alternativa.

Shell Seguro (SSH) no CCM.

Abra /usr/local/tomcat/conf/server.xml.

Role para baixo até encontrar a seção que começa com <Connector port="10443".

A linha que começa com SSLCipherSuite= lista as cifras permitidas e não permitidas.

Ao final de cada uma dessas linhas, adicione: !3DES:!IDEA  

Depois de iniciar o Tomcat, o 3DES e o IDEA não serão mais usados e, portanto, o Nmap? a verificação não irá mais reportar avisos.

Note: Esta solução alternativa não foi testada quanto à compatibilidade e alguns usuários talvez não consigam mais se conectar à Interface de Usuário (UI) do CCM. Os usuários com o Windows XP e os que executam o IE v8 podem não conseguir mais se conectar. No entanto, não foi testado.