[Previo por Fecha] [Siguiente por Fecha] [Previo por Hilo] [Siguiente por Hilo]
[Hilos de Discusión] [Fecha] [Tema] [Autor]-----BEGIN PGP SIGNED MESSAGE-----
--------------------------------------------------------------------
UNAM-CERT
Departamento de Seguridad en Computo
DGSCA - UNAM
Boletín de Seguridad UNAM-CERT 2004-023
Vulnerabilidad en la Cola de Procesamiento de Entrada del IOS de Cisco
----------------------------------------------------------------------
El *CERT/UNAM-CERT*, a través de sus equipos de respuesta a
incidentes de Seguridad en Cómputo, ha emitido éste boletín donde
informa de la existencia de una vulnerabilidad en la forma en que el
software IOS (Internetwork Operating System) de Cisco procesa
paquetes DHCP. La explotación de esta vulnerabilidad podría permitir
una negación de servicio. El procesamiento de paquetes DHCP está
habilitado de forma predeterminada.
Fecha de liberación: 11 de Noviembre de 2004
Ultima Revisión: --------------
Fuente: CERT/CC y diversos reportes de Equipos de
Respuesta a Incidentes, así como Foros y
Listas de Discusión.
Sistemas Afectados
==================
* Ruteadores, switches y tarjetas de línea de Cisco ejecutando
versiones vulnerables de IOS.
Las siguientes versiones de IOS son afectadas:
* 12.2(18)EW
* 12.2(18)EWA
* 12.2(18)S
* 12.2(18)SE
* 12.2(18)SV
* 12.2(18)SW
* 12.2(14)SZ
I. Descripción
==============
El servicio de DHCP <http://www.ietf.org/rfc/rfc2131.txt> (Dynamic
Host Configuration Protocol) proporciona un medio para distribuir
información de configuración a servidores en una red TCP/IP. El IOS
(Internetwork Operating System) de Cisco contiene una vulnerabilidad
que permite que paquetes DHCP malformados causen que un dispositivo
afectado detenga el procesamiento de tráfico de red entrante.
Los ruteadores, switches y tarjetas de línea de Cisco proporcionan
soporte para el procesamiento de paquetes DHCP. Los dispositivos de
Cisco pueden actuar como un servidor DHCP, proporcionando
información de configuración de servidor a los clientes, o pueden
reenviar requerimientos DHCP y BootP como un agente de relay. Los
dispositivos afectados tienen el servicio de DHCP habilitado de
forma predeterminada y aceptarán y procesarán paquetes DHCP
entrantes. Cuando un paquete DHCP es recibido, este es colocado en
una cola de entrada para que pueda ser procesado. Los paquetes DHCP
que no pueden ser enviados podrían permanecer en la cola si éstos
son creados de forma maliciosa. Cuando la cola se llena, el
dispositivo deja de aceptar todo el tráfico en ésta interfaz, no
solo el tráfico DHCP.
El servicio de DHCP está habilitado de forma predeterminada en IOS.
El DHCP puede solamente ser deshabilitado cuando el comando /no
service dhcp/ es especificado en la ejecución de configuración.
Cisco hace notar lo siguiente en su boletín
<http://www.cisco.com/warp/public/707/cisco-sa-20041110-dhcp.shtml>:
"Los ruteadores de Cisco están configurados para procesar y
aceptar paquetes DHCP de forma predeterminada, por lo tanto el
comando *service dhcp* no aparecerá en la ejecución de la
pantalla de configuración, y solo el comando para deshabilitar
la característica, *no service dhcp*, aparecerá en la ejecución
de la pantalla de configuración cuando la característica está
deshabilitada. La vulnerabilidad está presente,
independientemente si el servidor DHCP o las configuraciones del
agente de relay están presentes en los productos afectados. La
única configuración requerida para esta vulnerabilidad en las
versiones afectadas en la falta del comando *no service dhcp."
Cisco esta dando seguimiento a este problema con el identificador
CSCee50294. El US-CERT está dando seguimiento a éste problema como
la Nota de Vulnerabilidad VU#630104
<http://www.kb.cert.org/vuls/id/630104>.
II. Impacto
===========
Al enviar un paquete DHCP especialmente diseñado a un dispositivo
afectado, un intruso remoto no autentificado podría causar que el
dispositivo detenga el procesamiento de tráfico entrante a la red.
La explotación repetida de esta vulnerabilidad podría ocasionar una
condición de negación de servicio ininterrumpida. Para regresar a su
funcionalidad normal, el dispositivo debe ser reiniciado para
limpiar la cola de entrada en la interfaz.
III. Solución
=============
* Actualizar a versiones no vulnerables de IOS
Cisco ha publicado información detallada
<http://www.cisco.com/warp/public/707/cisco-sa-20041110-dhcp.shtml>
acerca del software de actualización del IOS de Cisco para
corregir esta vulnerabilidad. Se recomienda a los
administradores de sistemas actualizar a una de las versiones
no vulnerables. Para información adicional de versiones
reparadas, por favor consulte la sección "Software Versions
and Fixes
<http://www.cisco.com/warp/public/707/cisco-sa-20041110-dhcp.shtml#software>"
del Boletín de Seguridad de Cisco.
* Soluciones Temporales
Cisco recomienda una serie de soluciones temporales. Para
obtener una lista de soluciones temporales, consulte el
Boletín de Seguridad de Cisco
<http://www.cisco.com/warp/public/707/cisco-sa-20041110-dhcp.shtml>.
Apéndice A. Referencias
=======================
* Nota de Vulnerabilidad VU#630104 -
<http://www.kb.cert.org/vuls/id/630104>
* Boletín de Seguridad de Cisco: "Cisco IOS DHCP Blocked
Interface Denial-of-Service" -
<http://www.cisco.com/warp/public/707/cisco-sa-20041110-dhcp.shtml>
------------------------------------------------------------------------
Autor de la Versión Original:
Jeff Havrilla, Damon Morda, y Jason Rafail
<mailto:cert en cert org?subject=TA04-111B%20Feedback%20VU%23162451>.
------------------------------------------------------------------------
El Departamento de Seguridad en Computo/UNAM-CERT agradece el apoyo
en la elaboración, revisión y traducción de este boletín a:
* Fernando Zaragoza Hernández (fzaragoz en seguridad unam mx)
* Jesús R. Jiménez Rojas (jrojas en seguridad unam mx)
------------------------------------------------------------------------
Información
===========
Éste documento se encuentra disponible en su formato original en la
siguiente dirección:
http://www.us-cert.gov/cas/techalerts/TA04-316A.html
La versión en español del documento se encuentra disponible en:
http://www.seguridad.unam.mx/
http://www.unam-cert.unam.mx/Boletines/Boletines2004/boletin-UNAM-CERT-2004-023.html
Para mayor información acerca de éste boletín de seguridad contactar a:
UNAM CERT
Equipo de Respuesta a Incidentes UNAM
Departamento de Seguridad en Cómputo
DGSCA - UNAM
E-Mail : unam-cert en seguridad.unam.mx
http://www.cert.org.mx
http://www.seguridad.unam.mx
- --
Juan Carlos Guel Lopez
UNAM-CERT
Equipo de Respuesta a Incidentes UNAM
DGSCA, UNAM E-mail: unam-cert en seguridad unam mx
Circuito Exterior, C. U. Tel.: 5622-81-69 Fax: 5622-80-43
Del. Coyoacan WWW: http://www.seguridad.unam.mx
04510 Mexico D. F. WWW: http://www.unam-cert.unam.mx
-----BEGIN PGP SIGNATURE-----
Version: PGP 6.5.8
iQEVAwUBQZQiiXAvLUtwgRsVAQFmGAf+NSBVuiGCicNBJTXjWgFEa2C2iPrIpsMr
HYozN/3+VzH0RPJisNyZA3/qbV4FJMN5nrHG5Te2IqxFFXEYNm2VCemLJqgrrMlV
/TqwC7316XFASAlBtgpd75HsX6MgConGReBHQRUxsq58GKdbg6/uhZbarFDYgYEE
+75a0jdM2lByO+oDu/uXqcTjiEju0DvMmGS27rKtk0Rf2fAQtGw35OyUR9djvws4
WV8mt90n8hFHiO+3aY7N4B7CcGz7BVSNwsggiJxbdVpB0SlMNKDZY1JxmLRL8E3U
b/+RBmjj6kYzOOzPm76O8AC2V7dg+mguc+2YnwOSLOc6h8+5ctAKMA==
=7TXo
-----END PGP SIGNATURE-----