800+ IT
News
als RSS Feed abonnieren📚 Cisco ASA bis 9.5 IKEv1/IKEv2 UDP Packet Pufferüberlauf
💡 Newskategorie: Sicherheitslücken
🔗 Quelle: scip.ch
Allgemein
scipID: 80921
Betroffen: Cisco ASA bis 9.5
Veröffentlicht: 10.02.2016 (David Barksdale/Jordan Gruskovnjak/Alex Wheeler)
Risiko: sehr kritisch
Erstellt: 11.02.2016
Eintrag: 78.9% komplett
Beschreibung
Eine Schwachstelle wurde in Cisco ASA bis 9.5 entdeckt. Sie wurde als sehr kritisch eingestuft. Es geht hierbei um eine unbekannte Funktion der Komponente IKEv1/IKEv2. Mittels dem Manipulieren durch UDP Packet kann eine Pufferüberlauf-Schwachstelle ausgenutzt werden. Dies hat Einfluss auf Vertraulichkeit, Integrität und Verfügbarkeit.
Die Schwachstelle wurde am 10.02.2016 durch David Barksdale, Jordan Gruskovnjak und Alex Wheeler als cisco-sa-20160210-asa-ike / CSCux29978 / CSCux42019 in Form eines bestätigten Advisories (Website) herausgegeben. Auf tools.cisco.com kann das Advisory eingesehen werden. Eine Veröffentlichung wurde in Zusammenarbeit mit Cisco angestrebt. Die Verwundbarkeit wird mit der eindeutigen Identifikation CVE-2016-1287 gehandelt. Die Schwachstelle ist sehr beliebt, was mitunter auf ihre geringe Komplexität zurückzuführen ist. Umgesetzt werden kann der Angriff über das Netzwerk. Das Ausnutzen erfordert keine spezifische Authentisierung. Es sind zwar keine technische Details, jedoch ein öffentlicher Exploit zur Schwachstelle bekannt. Die spezielle Ausprägung dieser Schwachstelle führt dazu, dass ihr ein gewisses historisches Interesse beigemessen werden kann.
Ein öffentlicher Exploit wurde durch David Barksdale/Jordan Gruskovnjak/Alex Wheeler geschrieben und sofort nach dem Advisory veröffentlicht. Er wird als proof-of-concept gehandelt. Der Exploit wird unter blog.exodusintel.com bereitgestellt. Der Preis als 0day war auf dem Schwarzmarkt etwa $100k-$500k. Das Advisory zeigt auf:
Ein Aktualisieren auf die Version 8.4(7.30), 8.7(1.18), 9.0(4.38), 9.1(7), 9.2(4.5), 9.3(3.7), 9.4(2.4) oder 9.5(2.2) vermag dieses Problem zu lösen. Das Erscheinen einer Gegenmassnahme geschah sofort nach der Veröffentlichung der Schwachstelle. Cisco hat so unmittelbar gehandelt. Das Advisory stellt fest:After having successfully crafted fragments with length less than 8, the corruption happens during the fragments reassembly.
Mitunter wird der Fehler auch in der Verwundbarkeitsdatenbank von SecurityTracker (ID 1034997) dokumentiert. Unter blog.exodusintel.com werden zusätzliche Informationen bereitgestellt.Looking for the value of the length field of a Fragment Payload (type 132) IKEv2 or IKEv1 packet allows detecting an exploitation attempt. Any length field with a value
CVSS
Base Score: 10.0 (CVSS2#AV:N/AC:L/Au:N/C:C/I:C/A:C) [?]
Temp Score: 7.8 (CVSS2#E:POC/RL:OF/RC:C) [?]
CPE
- cpe:/a:cisco:asa:7.2
- cpe:/a:cisco:asa:8.2
- cpe:/a:cisco:asa:8.3
- cpe:/a:cisco:asa:8.4
- cpe:/a:cisco:asa:8.5
- cpe:/a:cisco:asa:8.6
- cpe:/a:cisco:asa:8.7
- cpe:/a:cisco:asa:9.0
- cpe:/a:cisco:asa:9.1
- cpe:/a:cisco:asa:9.2
- cpe:/a:cisco:asa:9.3
- cpe:/a:cisco:asa:9.4
- cpe:/a:cisco:asa:9.5
Exploiting
Klasse: Pufferüberlauf (CWE-119)
Lokal: Nein
Remote: Ja
Verfügbarkeit: Ja
Zugang: öffentlich
Status: Proof-of-Concept
Autor: David Barksdale/Jordan Gruskovnjak/Alex Wheeler
Download: blog.exodusintel.com
Aktuelle Preisschätzung: $100k-$500k (0-day) / $10k-$25k (Heute)
Gegenmassnahmen
Empfehlung: Upgrade
Status: Offizieller Fix
Reaction Time: 0 Tage seit gemeldet
0-Day Time: 0 Tage seit gefunden
Exposure Time: 0 Tage seit bekannt
Exploit Delay Time: 0 Tage seit bekannt
Upgrade: ASA 8.4(7.30)/8.7(1.18)/9.0(4.38)/9.1(7)/9.2(4.5)/9.3(3.7)/9.4(2.4)/9.5(2.2)
Timeline
10.02.2016 | Advisory veröffentlicht
10.02.2016 | Exploit veröffentlicht
10.02.2016 | Gegenmassnahme veröffentlicht
11.02.2016 | VulDB Eintrag erstellt
11.02.2016 | VulDB Eintrag aktualisiert
Quellen
Advisory: cisco-sa-20160210-asa-ike / CSCux29978 / CSCux42019
Person: David Barksdale/Jordan Gruskovnjak/Alex Wheeler
Status: Bestätigt
Koordiniert: Ja
CVE: CVE-2016-1287 (mitre.org) (nvd.nist.org) (cvedetails.com)
SecurityTracker: 1034997
Diverses: blog.exodusintel.com
...