Multiples vulnérabilités affectant Cisco Discovery Protocol

  • Auteur/autrice de la publication :
  • Post category:Alertes et Avis

Gestion du document

Origine: bjCSIRT

Numéro: 2020/ALERTE/005

Date de l’alerte: 06/02/2020

TLP: White

 

Aperçu de la menace

Cisco Discovery Protocol (CDP) est un protocole réseau propriétaire de Cisco utilisé pour la découverte de tous les équipements Cisco sur un réseau. Il facilite la cartographie et la présence d’autres produits Cisco dans le réseau et est implémenté dans pratiquement tous ses produits, y compris les switchs, les routeurs, les téléphones IP et les caméras IP. La plupart de ces équipements ne peuvent pas fonctionner correctement sans CDP et n’offrent pas la possibilité de le désactiver.

Cisco publie des correctifs pour cinq vulnérabilités critiques qui ont été découvertes dans CDP. Quatre sont des vulnérabilités d’exécution de code à distance (RCE), tandis qu’une est un déni de service (DoS).  Les vulnérabilités d’exécution de code à distance affectent chacune une implémentation distincte du mécanisme d’analyse CDP, mais peuvent toutes être déclenchées par un attaquant envoyant un paquet CDP malveillant vers le périphérique cible au sein du réseau.

 

Description et impact

Exécution de code à distance :

CVE-2020-3118 est une vulnérabilité de type « format string » dans les paquets CDP entrants dans l’implémentation IOS XR. IOS XR est utilisé pour ses routeurs NCS (Network Converging System). Un attaquant pourrait utiliser certains caractères de chaîne de format afin de provoquer un dépassement tampon (stack overflow), conduisant à une exécution de code à distance (Remote Code Execution – RCE). Un attaquant pourrait exploiter cette faille pour obtenir un contrôle total sur le routeur cible afin de passer les segments du réseau et / ou utiliser ce routeur pour des attaques ultérieures.

CVE-2020-3119 est une vulnérabilité « stack overflow » (débordement tampon) dans l’analyse de paquets CDP de négociation Power over Ethernet (PoE) des équipements utilisant Cisco NX-OS, un système d’exploitation de réseau pour les commutateurs Ethernet Nexus de Cisco et la zone de stockage Fibre Channel de la série MDS switchs réseau. En exploitant cette vulnérabilité, un attaquant pourrait obtenir un contrôle total sur le commutateur et l’infrastructure réseau concerné en utilisant un paquet CDP légitime avec des niveaux de puissance asymétriques (au-dessus du niveau de puissance qui peut être accepté), ce qui interrompt la segmentation et permet le saut entre les VLANs.

CVE-2020-3110 est une vulnérabilité heap overflow (débordement de tas) dans l’implémentation d’analyse CDP des caméras IP Cisco Video Surveillance 8000 Series. Elle se produit lorsqu’un attaquant envoie un paquet CDP avec un « champ port ID trop grand ». L’attaquant peut alors exploiter ce débordement et atteindre l’exécution de code à distance.

CVE-2020-3111 est une vulnérabilité de débordement de pile dans la fonction d’analyse pour l’ID de port dans les téléphones IP. Elle existe dans l’implémentation CDP sur les téléphones Cisco Voice Over IP. Afin de déclencher cette vulnérabilité sur les téléphones IP, un attaquant peut être situé n’importe où sur le réseau local, sans se limiter à envoyer le paquet CDP conçu de manière malveillante, directement à partir du switch d’accès auquel les appareils cibles sont connectés.

Déni de Service :

CVE-2020-3120 provient quant à elle de l’implémentation CDP dans les logiciels Cisco FXOS, IOS XR et NX-OS, qui peut être exploitée en obligeant le processus en arrière-plan (daemon) CDP d’un routeur ou d’un switch à allouer de gros blocs de mémoire, provoquant un déni de service. L’attaquant peut provoquer le crash du processus CDP à plusieurs reprises, ce qui entraîne à son tour le redémarrage du routeur. Ceci est susceptible de créer un arrêt complet du routeur et ainsi perturber la disponibilité du réseau cible.

 

Mesures à prendre

Cisco a publié des correctifs le 6 Février, corrigeant les cinq vulnérabilités et exhorte les utilisateurs à mettre à jour les équipements dès que possible.

 

Versions affectées

  • IP Conference Phone 7832 versions antérieures à 12.7
  • IP Conference Phone 7832 avec microgiciel multi-plateformes versions antérieures à 11.3 SR1
  • IP Conference Phone 8832 versions antérieures à 12.7
  • IP Conference Phone 8832 avec microgiciel multi-plateformes versions antérieures à 11.3SR1
  • IP Phone 6821, 6841, 6851, 6861 et 6871 avec microgiciel multi-plateformes versions antérieures à 11.3 SR1
  • IP Phone 7811, 7821, 7841 et 7861 Desktop Phones versions antérieures à 12.7
  • IP Phone 7811, 7821, 7841 et 7861 Desktop Phones avec microgiciel multi-plateformes versions antérieures à 11.3 SR1
  • IP Phone 8811, 8841, 8851, 8861, 8845 et 8865 Desktop Phones versions antérieures à 12.7
  • IP Phone 8811, 8841, 8851, 8861, 8845 et 8865 Desktop Phones avec microgiciel multi-plateformes versions antérieures à 11.3 SR1
  • Unified IP Conference Phone 8831 versions antérieures à 10.3 SR6 (disponible en mars 2020)
  • Unified IP Conference Phone 8831 for Third-Party Call Control
  • Wireless IP Phone 8821 et 8821-EX versions antérieures à 11.0 SR2
  • Cisco NX-OS versions antérieures à 7.0(3)I7(8) (disponible en février 2020)
  • Cisco NX-OS versions7.0(3)F, 9.2 et 9.3 antérieures à 9.3(2)
  • Cisco Video Surveillance 8000 Series IP Cameras versions antérieures à 1.0.7
  • Cisco IOS XR versions antérieures à 6.6.3
  • Cisco IOS XR versions 7.0.x antérieures à 7.0.2 (disponible en mars 2020)
  • Cisco IOS XR versions 5.2.5, 6.4.2, 6.5.3, 6.6.12, 6.6.25 et 7.0.1 sans le dernier correctif de sécurité
  • Cisco FXOS, IOS XR, et NX-OS

 

Lien Utiles

https://www.cert.ssi.gouv.fr/avis/CERTFR-2020-AVI-073/

https://www.forbes.com/sites/daveywinder/2020/02/05/cisco-confirms-5-serious-security-threats-to-tens-of-millions-of-network-devices/#7f0bd06c13e8

 

 

 

Partagez sur vos réseaux.