Descripción: Esta vulnerabilidad está presente en los dispositivos Cisco IOS Software y Cisco IOS XE Software (cuando el ISAKMP esta habilitado en éste último). Permite a un atacante acceder sin autenticarse enviando paquetes de Internet Key Exchange Version 2 (IKEv2) utilizado en el protocolo IPsec para negociar atributos criptograficos que son utilizados para cifrar y autenticar comunicaciones.

IKEv2 es utilizado tanto en comunicaciones por IPv4 como para IPv6 por los puertos UDP/500, UDP/848 y UDP/4500, razón por la que en las dos versiones del  protocolo de Internet pueden verse comprometidos.

El atacante puede aprovechar la vulnerabilidad y afectar al dispositivo de las siguientes formas:

  • Elevar la utilización de CPU através del proceso the Crypto IKEv2
  • Hacer traceback de mensajes
  • Recargar el dispositivo y conducir a una denegación de servicio (DoS)

CVE: CVE-2017-12237
Publicación: 27 de septiembre de 2017
Factor de Riesgo: Alto
Valor CVSS Base: 7.8

Validaciones: Para verificar cuando un dispositivo está configurado con IKE, se debe ejecutar el siguiente comando y validar si se están escuchando los puertos 500, 848 ó 4500.

router# show udp

Solución: Si el software del dispositivo soporta el comando de configuración crypto ikev2 limit queue sa-init. Utilizarlo es equivalente a realizar una actualización que arregla la vulnerabilidad del release.

En caso contrario, buscar la versión del release del software que corresponda al dispositivo, en el verificador de seguridad de Cisco                                                                                                                                https://tools.cisco.com/security/center/softwarechecker.x                

Que además de identificar que vulnerabilidades existen en la versión del software, relaciona cual es la versión más reciente que las corrige.

Referencia:
https://tools.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-20170927-ike
https://tools.cisco.com/security/center/softwarechecker.x

No Comment

You can post first response comment.

Leave A Comment

Please enter your name. Please enter an valid email address. Please enter message.

You may also like