CVE-2016-6366
Cisco Adaptive Security Appliance (ASA) SNMP Buffer Overflow Vulnerability
Beschreibung
CVE-2016-6366 ist eine Pufferüberlauf-Schwachstelle im SNMP-Code (Simple Network Management Protocol) der Cisco Adaptive Security Appliance (ASA) Software, die es einem authentifizierten entfernten Angreifer ermöglicht, einen Neustart des betroffenen Systems auszulösen oder Code aus der Ferne auszuführen. Die Schwachstelle wurde als Teil der Shadow-Brokers-Veröffentlichung von Tools der Equation Group bekannt, wo sie unter dem Namen EXTRABACON geführt wurde. CISA hat CVE-2016-6366 in den KEV-Katalog aufgenommen, und das EPSS-Perzentil von 99,7 % weist auf eine nahezu sichere Ausnutzungsaktivität hin.
KEV-Informationen
CVSS-Score
CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:HIm Rechner öffnenBetroffene Produkte
| Hersteller | Produkt | Version |
|---|---|---|
| cisco | pix firewall software | - |
| cisco | adaptive security appliance software | >= 7.2.1, < 9.0.4.40; >= 9.1.1, < 9.1.7\(9\); >= 9.2.0, < 9.2.4\(14\); >= 9.3.0, < 9.3.3\(10\); >= 9.4.0.115, < 9.4.3\(8\); >= 9.5.0, <= 9.5\(3\); >= 9.6.0, < 9.6.1\(11\) |
| cisco | asa 1000v cloud firewall software | 8.7.1; 8.7.1.1 |
Mehrere CVSS-Bewertungen
CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H
CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H
Referenzen
- http://blogs.cisco.com/security/shadow-brokers(Exploit, Press/Media Coverage, Vendor Advisory)
- http://tools.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-20160817-asa-snmp(Vendor Advisory)
- http://tools.cisco.com/security/center/viewErp.x?alertId=ERP-56516(Vendor Advisory)
- http://www.securityfocus.com/bid/92521(Broken Link, Not Applicable, Third Party Advisory, VDB Entry)
- http://www.securitytracker.com/id/1036637(Broken Link, Third Party Advisory, VDB Entry)
- https://github.com/offensive-security/exploit-database-bin-sploits/raw/master/sploits/40258.zip(Broken Link, Exploit)
- https://www.exploit-db.com/exploits/40258/(Third Party Advisory, VDB Entry)
- https://zerosum0x0.blogspot.com/2016/09/reverse-engineering-cisco-asa-for.html(Exploit, Technical Description)
- https://www.cisa.gov/known-exploited-vulnerabilities-catalog?field_cve=CVE-2016-6366(US Government Resource)
Schwachstellentyp
CWE-119: Unsachgemäße Beschränkung von Operationen innerhalb der Grenzen eines Speicherpuffers
CWE-119 beschreibt eine Schwachstelle, bei der ein Produkt Operationen auf einem Speicherpuffer durchführt, ohne diese ordnungsgemäß auf die vorgesehenen Grenzen zu beschränken. Bei CVE-2016-6366 enthält die Cisco-ASA-SNMP-Implementierung einen Pufferüberlauf, der bei der Verarbeitung präparierter SNMP-Pakete auftritt und einem authentifizierten Angreifer ermöglicht, Speicher zu überschreiben und beliebigen Code auszuführen oder die Appliance zum Absturz zu bringen.
Weitere Informationen: CWE-119 — Improper Restriction of Operations within the Bounds of a Memory Buffer
Auswirkungsanalyse
CVE-2016-6366 hat schwerwiegende Auswirkungen, da Cisco-ASA-Appliances typischerweise als Perimeter-Firewalls und VPN-Konzentratoren in Unternehmensnetzwerken eingesetzt werden. Die Ausnutzung kann entweder zu einem Denial-of-Service durch Geräteneustart oder zur vollständigen Code-Ausführung auf der Appliance führen. Die Schwachstelle erfordert SNMP-Authentifizierung (Kenntnis des Community-Strings), wobei SNMP-Community-Strings in vielen Umgebungen häufig schwach oder auf Standardwerten belassen sind. Eine erfolgreiche Ausnutzung gefährdet Vertraulichkeit, Integrität und Verfügbarkeit des Firewall-Geräts selbst und damit des gesamten geschützten Netzwerksegments. Ein Angreifer mit Code-Ausführung auf der ASA könnte Firewall-Regeln ändern, Datenverkehr abfangen, Backdoor-Zugänge einrichten oder in das interne Netzwerk vordringen. Das EPSS-Perzentil von 99,7 % belegt eine nahezu sichere Ausnutzungsaktivität.
Exploit-Reifegrad
CVE-2016-6366 wird seit dem Shadow-Brokers-Leak im August 2016 aktiv ausgenutzt. CISA hat die aktive Ausnutzung bestätigt und die Schwachstelle mit einer Behebungsfrist bis zum 14. Juni 2022 in den KEV-Katalog aufgenommen. Das EPSS-Perzentil von 99,7 % ordnet sie unter die am häufigsten ausgenutzten Schwachstellen überhaupt ein. Der Exploit, bekannt als EXTRABACON, war Teil des Equation-Group-Toolsets und wurde von der Shadow-Brokers-Gruppe öffentlich veröffentlicht. Öffentlicher Exploit-Code ist weit verbreitet und wurde für den Einsatz gegen mehrere Cisco-ASA-Versionen angepasst. Der Exploit zielt auf den SNMP-Dienst ab und ermöglicht in Kombination mit Kenntnis des SNMP-Community-Strings eine zuverlässige Remote-Code-Ausführung.
Behebung
- Wenden Sie Cisco-Sicherheitsupdates an, um die ASA-Software auf eine Version zu aktualisieren, die CVE-2016-6366 behebt, wie vom CISA-KEV-Katalog gefordert.
- Ändern Sie alle SNMP-Community-Strings von Standardwerten auf starke, komplexe Zeichenketten und beschränken Sie den SNMP-Zugriff über Zugriffskontrolllisten (ACLs) auf autorisierte Management-Stationen.
- Falls SNMP auf der ASA nicht benötigt wird, deaktivieren Sie es vollständig, um die Angriffsfläche zu eliminieren.
- Verwenden Sie SNMPv3 mit Authentifizierung und Verschlüsselung anstelle von SNMPv1/v2c, die Community-Strings im Klartext übertragen.
- Überwachen Sie ASA-Protokolle auf unerwartete Geräteneustarts, SNMP-Authentifizierungsfehler oder ungewöhnliche SNMP-Verkehrsmuster, die auf Ausnutzungsversuche hindeuten könnten.
Technische Details
CVE-2016-6366 ist ein Pufferüberlauf im SNMP-Paketverarbeitungscode der Cisco-ASA-Software. Wenn die ASA speziell präparierte SNMP-Pakete empfängt, validiert der SNMP-Handler die Länge bestimmter Felder nicht ordnungsgemäß, was zu einem Pufferüberlauf führt, der unter CWE-119 klassifiziert ist. Ein Angreifer, der den SNMP-Community-String kennt, kann bösartige SNMP-Anfragen senden, die einen Stack- oder Heap-Puffer überlaufen lassen und potenziell Rücksprungadressen oder Funktionszeiger überschreiben, um die Ausführung auf angreifergelieferten Shellcode umzuleiten. Der Exploit erfordert Netzwerkzugang zum SNMP-Dienst (typischerweise UDP-Port 161) und gültige SNMP-Anmeldedaten. Der EXTRABACON-Exploit aus dem Equation-Group-Toolset demonstrierte zuverlässige Code-Ausführung auf mehreren ASA-Hardwaremodellen und Softwareversionen.
Häufig gestellte Fragen
Wird CVE-2016-6366 aktiv ausgenutzt?
Ja, CVE-2016-6366 wird seit dem Shadow-Brokers-Leak im Jahr 2016 aktiv ausgenutzt. CISA hat die aktive Ausnutzung bestätigt und die Schwachstelle in den KEV-Katalog aufgenommen. Das EPSS-Perzentil von 99,7 % belegt eine nahezu sichere Ausnutzung, angetrieben durch das öffentlich verfügbare EXTRABACON-Exploit-Tool.
Welche Produkte sind von CVE-2016-6366 betroffen?
CVE-2016-6366 betrifft Cisco Adaptive Security Appliance (ASA) Software auf mehreren Hardwareplattformen. Dazu gehören die ASA 5500-Serie, ASA 5500-X-Serie und andere Plattformen mit verwundbaren ASA-Softwareversionen bei aktiviertem SNMP.
Wie behebe ich CVE-2016-6366?
Wenden Sie das Cisco-Sicherheitsupdate für die betroffene ASA-Softwareversion an. Ändern Sie zusätzlich SNMP-Community-Strings auf starke Werte, beschränken Sie den SNMP-Zugriff über ACLs und erwägen Sie ein Upgrade auf SNMPv3 oder die vollständige Deaktivierung von SNMP. Details finden Sie im Abschnitt Behebung.
Wie schwerwiegend ist CVE-2016-6366?
CVE-2016-6366 ist eine Pufferüberlauf-Schwachstelle mit einem EPSS-Perzentil von 99,7 %. Sie ermöglicht Remote-Code-Ausführung auf Unternehmens-Firewall-Geräten, die typischerweise die erste Verteidigungslinie der Netzwerksicherheit darstellen. Die Kompromittierung eines ASA-Geräts kann zu einer vollständigen Netzwerkinfiltration führen.
Hilfe beim Schwachstellenmanagement?
Unsere Sicherheitsexperten helfen Ihnen bei der Priorisierung und Behebung von Schwachstellen.