思科上周發(fā)出安全公告,旗下多款安全硬件存在SIP(Session Initiation Protocol)協(xié)定零時差漏洞,可能導(dǎo)致黑客重新啟動硬件引發(fā)阻斷服務(wù)(Denial of Service)攻擊。該漏洞尚未有修補程式。思科同時警告網(wǎng)絡(luò)上已有開采情形出現(xiàn)。
編號CVE-2018-15454的漏洞是由思科產(chǎn)品安全事件回應(yīng)小組(PSIRT)發(fā)現(xiàn),出現(xiàn)在該公司產(chǎn)品中二項軟件,包括Adaptive Security Appliance(ASA)9.4版以上以及Firepower Threat Defense(FTD)6.0版以上的SIP檢測引擎。這項漏洞歸因於對SIP流量未能正確處理,讓攻擊者傳送變造過的SIP呼叫指令來開采。
漏洞一經(jīng)開采,將使未授權(quán)的遠(yuǎn)端攻擊者得以重新啟動有漏洞的硬件,導(dǎo)致DoS攻擊。如果未能重啟硬件,則會持續(xù)占用CPU運算資源,拖慢其回應(yīng)速度。思科將之列為CVSS Score 8.6的高風(fēng)險漏洞。
上述版本ASA及FTD軟件均因預(yù)設(shè)開啟SIP檢測功能而曝險。共有8款執(zhí)行上述實體和虛擬機器受到該漏洞影響,包括:
- 3000 Series Industrial Security Appliance (ISA)
- ASA 5500-X Series Next-Generation Firewalls
- ASA Services Module for Cisco Catalyst 6500 Series Switches and Cisco 7600 Series Routers
- Adaptive Security Virtual Appliance (ASAv)
- Firepower 2100 Series Security Appliance
- Firepower 4100 Series Security Appliance
- Firepower 9300 ASA Security Module
- FTD Virtual (FTDv)
值得注意的是,思科警告已經(jīng)有開采漏洞的情形發(fā)生。但目前尚未有修補程式。
目前最好的緩解方法是關(guān)閉SIP檢測功能,但這將危及企業(yè)的SIP連線。另一方法是啟用存取控制表(ACL),在EXEC模式下啟用clear conn address ,或使用shun 指令來防堵攻擊流量。另外管理員也可留意流量Set-by Address標(biāo)頭值設(shè)為0.0.0.0無效值的流量。
思科產(chǎn)品上周也爆漏洞。德儀(TI)藍(lán)牙晶片上周被揭露有二個重大安全漏洞,可能讓黑客開采後入侵企業(yè)網(wǎng)絡(luò)、或利用網(wǎng)絡(luò)裝置散布惡意裝置。包括思科、Meraki及Aruba的無線AP產(chǎn)品都受到波及。