CVE-2018-0171
Cisco IOS and IOS XE Software Smart Install Remote Code Execution Vulnerability
Beschreibung
CVE-2018-0171 ist eine Schwachstelle mit dem Schweregrad CRITICAL zur Remote-Code-Ausführung im Smart-Install-Feature von Cisco IOS und Cisco IOS XE Software, klassifiziert unter CWE-20 (Unsachgemäße Eingabevalidierung) und CWE-787 (Out-of-bounds Write). Die Schwachstelle resultiert aus der unzureichenden Validierung von Paketdaten im Smart-Install-Protokoll, wodurch ein nicht authentifizierter, entfernter Angreifer eine speziell präparierte Nachricht an TCP-Port 4786 senden und einen Pufferüberlauf auslösen kann. Dies kann zu einem Geräte-Reload (Denial-of-Service), beliebiger Code-Ausführung oder einer Endlosschleife mit Watchdog-Absturz führen. Mit einem CVSS-3.1-Score von 9.8 und einem EPSS-Score von 0,93123 (99,79. Perzentile) stellt diese Schwachstelle ein extremes Ausnutzungsrisiko dar. CISA hat sie am 3. November 2021 in den KEV-Katalog aufgenommen.
KEV-Informationen
CVSS-Score
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:HIm Rechner öffnenBetroffene Produkte
| Hersteller | Produkt | Version |
|---|---|---|
| cisco | ios | 15.2\(5\)e |
Mehrere CVSS-Bewertungen
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H
Referenzen
- http://www.securityfocus.com/bid/103538(Third Party Advisory, VDB Entry)
- http://www.securitytracker.com/id/1040580(Third Party Advisory, VDB Entry)
- https://ics-cert.us-cert.gov/advisories/ICSA-18-107-04(Third Party Advisory, US Government Resource)
- https://ics-cert.us-cert.gov/advisories/ICSA-18-107-05(Third Party Advisory, US Government Resource)
- https://tools.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-20180328-smi2(Vendor Advisory)
- https://www.darkreading.com/perimeter/attackers-exploit-cisco-switch-issue-as-vendor-warns-of-yet-another-critical-flaw/d/d-id/1331490(Press/Media Coverage)
- https://www.cisa.gov/known-exploited-vulnerabilities-catalog?field_cve=CVE-2018-0171(US Government Resource)
Schwachstellentyp
CWE-20: Unsachgemäße Eingabevalidierung
Unsachgemäße Eingabevalidierung tritt auf, wenn ein Produkt Eingaben oder Daten empfängt, diese jedoch nicht oder falsch auf die erforderlichen Eigenschaften für eine sichere und korrekte Verarbeitung überprüft. Bei Netzwerkprotokoll-Implementierungen bedeutet dies häufig, dass Paketlängen, Feldgrenzen oder Datentypen vor der Verarbeitung nicht verifiziert werden, was zu Speicherkorruptionsschwachstellen führen kann.
Im Kontext von CVE-2018-0171 validiert die Smart-Install-Protokollimplementierung in Cisco IOS und IOS XE Software die auf TCP-Port 4786 empfangenen Paketdaten nicht ordnungsgemäß. Das Smart-Install-Feature ist für die vereinfachte Erstbereitstellung von Switches durch Zero-Touch-Konfiguration konzipiert. Der Protokoll-Handler versagt jedoch bei der Validierung der Größe und des Inhalts eingehender Smart-Install-Nachrichten vor deren Verarbeitung. Ein Angreifer kann eine manipulierte Smart-Install-Nachricht mit übergroßen oder fehlerhaften Feldern erstellen, die einen Pufferüberlauf (CWE-787) im Gerätespeicher auslöst und zu Code-Ausführung mit erhöhten Rechten oder einem Geräteabsturz führt.
Mehr erfahren: CWE-20 — Unsachgemäße Eingabevalidierung
Auswirkungsanalyse
CVE-2018-0171 weist einen CVSS-3.1-Basiswert von 9.8 (CRITICAL) mit netzwerkbasierten Angriffscharakteristiken auf, die keine Authentifizierung oder Benutzerinteraktion erfordern.
Vertraulichkeit (Hoch): Erfolgreiche Ausnutzung ermöglicht beliebige Code-Ausführung auf dem betroffenen Cisco-Gerät. Dies gewährt dem Angreifer Zugriff auf alle Konfigurationsdaten einschließlich Routing-Tabellen, SNMP-Community-Strings, TACACS/RADIUS-Shared-Secrets, VPN-Konfigurationen und gespeicherte Zugangsdaten. Der Angreifer kann den gesamten über den kompromittierten Switch oder Router laufenden Netzwerkverkehr abfangen und inspizieren.
Integrität (Hoch): Mit Code-Ausführung auf dem Netzwerkgerät kann ein Angreifer Routing-Konfigurationen zur Verkehrsumleitung ändern, Access-Control-Listen für unautorisierte Netzwerkpfade manipulieren, persistente Backdoors in der Geräte-Firmware installieren und Spanning-Tree- oder VLAN-Konfigurationen zur Umgestaltung der Netzwerktopologie für weitere Angriffe verändern.
Verfügbarkeit (Hoch): Die Schwachstelle kann direkt Geräte-Reloads und Denial-of-Service verursachen. Ein Angreifer kann betroffene Geräte wiederholt zum Absturz bringen und anhaltende Netzwerkausfälle verursachen. Die Endlosschleifenbedingung löst einen Watchdog-Absturz aus und macht das Gerät vollständig unresponsiv.
Scope (Unverändert): Obwohl der Scope in der CVSS-Bewertung unverändert bleibt, beeinträchtigt die Kompromittierung eines zentralen Netzwerkgeräts effektiv alle Systeme und Dienste, die von diesem Gerät für die Konnektivität abhängig sind. Der EPSS-Score von 0,93123 (99,79. Perzentile) platziert diese Schwachstelle unter den am wahrscheinlichsten ausgenutzten.
Exploit-Reifegrad
Aktive Ausnutzung: CVE-2018-0171 wird aktiv in der Praxis ausgenutzt. CISA hat diese Schwachstelle am 3. November 2021 in den Known Exploited Vulnerabilities Katalog aufgenommen, mit einer Behebungsfrist bis zum 3. Mai 2022. Das Smart-Install-Protokoll ist ein beständiges Ziel für staatliche und kriminelle Bedrohungsakteure, die Netzwerkinfrastruktur angreifen.
Öffentliche Exploit-Verfügbarkeit: Exploit-Code und Proof-of-Concept-Tools für CVE-2018-0171 sind öffentlich verfügbar. Das Smart Install Exploitation Tool (SIET) kann verwendet werden, um verwundbare Geräte zu scannen und auszunutzen.
Staatliche Aktivitäten: Diese Schwachstelle wurde mit Kampagnen gegen kritische Infrastruktur in Verbindung gebracht. Das US ICS-CERT veröffentlichte Advisories (ICSA-18-107-04 und ICSA-18-107-05) mit Warnungen vor Ausnutzung gegen industrielle Steuerungssysteme.
EPSS-Kontext: Der EPSS-Score von 0,93123 (99,79. Perzentile) platziert diese Schwachstelle in den obersten 0,21% aller CVEs hinsichtlich der Ausnutzungswahrscheinlichkeit.
Angriffsfläche: Das Smart-Install-Feature lauscht standardmäßig auf TCP-Port 4786 auf vielen Cisco-Switches, und die Funktion ist oft aktiviert, ohne dass Administratoren sich dessen bewusst sind.
Behebung
-
Cisco-Software-Updates umgehend anwenden. Installieren Sie die gepatchten IOS- und IOS-XE-Versionen gemäß dem Cisco Security Advisory cisco-sa-20180328-smi2. Priorisieren Sie Geräte, die nicht vertrauenswürdigen Netzwerken ausgesetzt sind.
-
Smart Install deaktivieren, wenn nicht aktiv genutzt. Auf Geräten, auf denen Smart Install nicht benötigt wird, deaktivieren Sie die Funktion vollständig mit dem Befehl
no vstackim globalen Konfigurationsmodus. Dies eliminiert die Angriffsfläche vollständig. -
TCP-Port 4786 an Netzwerkgrenzen blockieren. Wenn Smart Install nicht sofort gepatcht oder deaktiviert werden kann, implementieren Sie Access-Control-Listen, um TCP-Port 4786 von nicht vertrauenswürdigen Quellen zu blockieren.
-
Netzwerkgeräte auf Smart-Install-Exposition auditieren. Verwenden Sie Netzwerk-Scanning-Tools, um alle Geräte mit offenem TCP-Port 4786 zu identifizieren. Überprüfen Sie, ob Smart Install auf jedem Gerät tatsächlich benötigt wird.
-
Auf Ausnutzungsversuche überwachen. Implementieren Sie Intrusion-Detection-Signaturen für fehlerhafte Smart-Install-Pakete auf TCP-Port 4786. Überprüfen Sie Geräteprotokolle auf unerwartete Reloads oder Konfigurationsänderungen.
-
Netzwerksegmentierung für Management-Traffic implementieren. Stellen Sie sicher, dass Management-Protokolle wie Smart Install nur aus dedizierten Management-VLANs erreichbar sind.
Technische Details
CVE-2018-0171 ist eine Pufferüberlauf-Schwachstelle im Smart-Install-Client-Feature von Cisco IOS und IOS XE Software. Smart Install ist ein proprietäres Cisco-Protokoll zur Vereinfachung der Bereitstellung und Konfiguration neuer Switches durch Zero-Touch-Installation. Das Protokoll arbeitet auf TCP-Port 4786 und ermöglicht einem Smart-Install-Director, Konfigurationen und Firmware-Images an Client-Switches zu übertragen.
Die Schwachstelle besteht in der Verarbeitung von Smart-Install-Nachrichten durch den Client. Wenn ein Cisco-Gerät mit IOS oder IOS XE eine speziell präparierte Smart-Install-Nachricht auf TCP-Port 4786 empfängt, kopiert der Protokoll-Handler Paketdaten in einen Puffer fester Größe, ohne die Datenlänge ordnungsgemäß zu prüfen. Dies führt zu einem stackbasierten Pufferüberlauf, der angrenzende Speicherbereiche überschreibt.
Der CVSS-Vektor (AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H) zeigt, dass der Angriff netzwerkbasiert ist, geringe Komplexität erfordert, keine Privilegien oder Benutzerinteraktion benötigt und alle drei CIA-Triad-Komponenten auf höchstem Niveau beeinträchtigt.
Die Ausnutzung kann drei verschiedene Ergebnisse erzeugen: einen Geräte-Reload mit Denial-of-Service, beliebige Code-Ausführung zur vollständigen Geräteübernahme oder eine endlose Verarbeitungsschleife, die den IOS-Watchdog-Timer auslöst und einen Absturz erzwingt. Die Cisco Bug ID ist CSCvg76186.
Häufig gestellte Fragen
Wird CVE-2018-0171 aktiv ausgenutzt?
Ja, CVE-2018-0171 wird aktiv in der Praxis ausgenutzt. CISA hat die Schwachstelle am 3. November 2021 in den Known Exploited Vulnerabilities Katalog aufgenommen. Sie wurde in Kampagnen gegen kritische Infrastruktur eingesetzt, und ICS-CERT veröffentlichte spezifische Advisories. Der EPSS-Score von 0,93123 (99,79. Perzentile) bestätigt extrem hohe Ausnutzungsaktivität.
Welche Produkte sind von CVE-2018-0171 betroffen?
CVE-2018-0171 betrifft Cisco-Geräte mit IOS und IOS XE Software, bei denen das Smart-Install-Client-Feature aktiviert ist. Dies umfasst viele Cisco Catalyst Switches und andere Geräte, auf denen Smart Install standardmäßig auf TCP-Port 4786 aktiv ist. Die Schwachstelle ist nicht auf bestimmte Hardware-Modelle beschränkt, sondern hängt von der IOS/IOS-XE-Softwareversion ab.
Wie behebe ich CVE-2018-0171?
Die effektivste sofortige Maßnahme ist die Deaktivierung von Smart Install mit dem Befehl no vstack, wenn die Funktion nicht aktiv genutzt wird. Für Umgebungen, die Smart Install benötigen, wenden Sie die gepatchten Cisco IOS/IOS XE Versionen aus dem Cisco Security Advisory an. Blockieren Sie zusätzlich TCP-Port 4786 von nicht vertrauenswürdigen Netzwerken.
Wie schwerwiegend ist CVE-2018-0171?
CVE-2018-0171 ist mit einem CVSS-Score von 9.8 als CRITICAL eingestuft, der höchsten Schwerestufe. Sie ermöglicht nicht authentifizierte Remote-Code-Ausführung auf Netzwerkinfrastrukturgeräten ohne Benutzerinteraktion. Der EPSS-Score von 0,93123 platziert sie in den obersten 0,21% aller CVEs. Die Kompromittierung eines zentralen Netzwerkgeräts kann zu weitreichenden Netzwerkstörungen führen.
Hilfe beim Schwachstellenmanagement?
Unsere Sicherheitsexperten helfen Ihnen bei der Priorisierung und Behebung von Schwachstellen.