Server Ssh vulnerabile su Cisco

Alcuni dispositivi Cisco che prevedono il supporto a Ssh (Secure Shell) sono vulnerabili a un attacco di tipo Dos (Denial of service), ottenuto inviando alla macchina pacchetti Ssh che ne causano il riavvio. Non è necessaria l’autenticazione del pacchetto inviato, e questo aspetto risulta particolarmente grave; bisogna tuttavia sottolineare che il server Ssh non è abilitato per default sui dispositivi Cisco Ios. Il sistema operativo Ios, e il relativo software supplementare girano su un gran numero di piattaforme, tra cui molti router e switch Gigabit Ethernet. Le vulnerabilità sono state scoperte con la suite di test SshRedder di Rapid 7. Inizialmente i dispositivi Cisco non sono stati identificati come vulnerabili; in seguito il ripetersi dei test ha evidenziato la vulnerabilità in questione. La funzione di server Ssh è disponibile per le versioni di Ios 12.0S, 12.0St, 12.1T, 12.1E, 12.2, 12.2T, 12.2S; la vulnerabilità sorge con l’attivazione del server mediante il comando “crypto key generate rsa” in modalità di configurazione, che si occupa della generazione di chiavi crittografiche. In breve tempo il produttore ha risposto con un documento (Ddts Cscdz60229), seguito da una pagina Web che affronta l’argomento in dettaglio, elencando tutte le versioni affette e le fix disponibili. Non risultano vulnerabili gli switch Catalyst con CatOs, la serie Vpv 3000, i firewall Pix, i sistemi di intrusion detection e il relativo modulo per Catalyst, i router Sn5400 e la serie Cisco Works 1105 Wireless Lan Solution Engine e Hosting Solution Engine. Nei sistemi affetti, l’invio di pacchetti Ssh malformati provoca il riavvio della macchina e il conseguente downtime quantificabile in qualche minuto; la vulnerabilità può essere provocata ripetutamente, portando a un disservizio continuativo. Tra i sistemi vulnerabili, lo switch 3550 richiede l’intervento dell’operatore in quanto non esegue il riavvio automatico. La soluzione consiste in un aggiornamento software o nella rimozione dell’accesso remoto mediante Ssh sulla macchina, nel filtraggio e nel blocco del traffico Ssh in entrata mediante un dispositivo a monte (quale un firewall) e in una politica di accesso da host fidati. Per quanto riguarda quest’ultima politica (uso di Access Control List), si veda www.cisco.com/warp/public/707/confaccesslists.html e www.cisco.com/univercd/cc/td/doc/product/lan/cat2950/1219ea1/scg/swacl.htm#xtocid14 Fonte: Week.it

news del 09-01-03