Cisco IOS XE Software Errdisable Denial of Service Vulnerability

Descripción: La vulnerabilidad está presente en algunos dispositivos con Cisco IOS XE Software. La condición de vulnerabilidad se presenta cuando una VLAN y un puerto del dispositvo entran en estado errdisabled, resultado de un estado incorrecto del software o bug de software. El atacante puede aprovechar la vulnerabilidad enviando tramas que activan el estado, permitiendole quebrantar el rendimiento del dispositivo y traducirse en una denegación de servicio.

CVE: CVE-2018-0480
Publicación: 26 de septiembre de 2018
Factor de Riesgo: Alto
Valor CVSS Base: 6.1

Validaciones: Para determinar si en los dispositivos existe la configuración que activa está vulnerabilidad tanto a nivel de VLAN como de puerto, se debe ejecutar lo siguiente:

Paso 1: Revisión VLAN

Por línea de comando ejecutar

show errdisable detect | include vlan

Por cada línea arrojada a la salida del comando se debe ejecutar el paso 2

Paso 2: Port level

Para cada una de las funciones configuradas en las VLAN que se especifican en el comando del paso 1, se debe verificar si la función está habilitada también a nivel de puerto:

• BPDU Guard: La configuración es vulnerable, si tiene cualquiera de las dos condiciones:

spanning-tree portfast bpduguard default
interface
spanning-tree portfast

ó 

interface <interface-id>
spanning-tree bpduguard enable

• Port security violation: La configuración es vulnerable si al ejecutar el comando: show port-security se obtiene la línea “Shutdown Vlan“.
• 802.1x security violation: Si la configuración contiene la línea que más abajo se muestra, y no tiene authentication violation {protect|replace|restrict} se dice que el dispositivo es vulnerable:

interface
authentication port-control value
switchport voice vlan value

Solución: Buscar el release del software que corresponda al dispositivo y utilizar el verificador de seguridad de Cisco que además de identificar que vulnerabilidades existen en la versión del software, identifica cual es la versión más reciente que las corrige.

Referencia:

https://tools.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-20180926-errdisable