CVE-2020-3566
Cisco IOS XR Software DVMRP Memory Exhaustion Vulnerability
Beschreibung
CVE-2020-3566 ist eine Schwachstelle mit dem Schweregrad HIGH zur Denial-of-Service-Ausnutzung im Distance Vector Multicast Routing Protocol (DVMRP)-Feature von Cisco IOS XR Software, klassifiziert unter CWE-400 (Unkontrollierter Ressourcenverbrauch) und CWE-770 (Ressourcenzuweisung ohne Limits oder Drosselung). Die Schwachstelle resultiert aus unzureichendem Queue-Management für Internet Group Management Protocol (IGMP)-Pakete, wodurch ein nicht authentifizierter, entfernter Angreifer den Prozessspeicher eines betroffenen Geräts erschöpfen kann. Erfolgreiche Ausnutzung verursacht Instabilität in Routing-Prozessen einschließlich interner und externer Routing-Protokolle. Mit einem CVSS-3.1-Score von 8.6 und einem EPSS-Score von 0,0505 (89,63. Perzentile) stellt diese Schwachstelle ein erhebliches Verfügbarkeitsrisiko dar. CISA hat sie am 3. November 2021 in den KEV-Katalog aufgenommen.
KEV-Informationen
CVSS-Score
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:N/I:N/A:HIm Rechner öffnenCWEs
Betroffene Produkte
| Hersteller | Produkt | Version |
|---|---|---|
| cisco | ios xr | 6.4.2 |
Mehrere CVSS-Bewertungen
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:N/I:N/A:H
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:N/I:N/A:H
Referenzen
Schwachstellentyp
CWE-400: Unkontrollierter Ressourcenverbrauch
Unkontrollierter Ressourcenverbrauch tritt auf, wenn Software die Zuweisung und Verwaltung einer begrenzten Ressource nicht ordnungsgemäß kontrolliert, sodass ein Angreifer die Menge der verbrauchten Ressourcen beeinflussen kann, was letztendlich zur Erschöpfung der verfügbaren Ressourcen führt. Diese Kategorie umfasst verschiedene Formen der Ressourcenerschöpfung einschließlich Speichererschöpfung, CPU-Erschöpfung, Festplattenplatzerschöpfung und Netzwerkbandbreitenverbrauch.
Im Kontext von CVE-2020-3566 implementiert das DVMRP-Feature in Cisco IOS XR Software unzureichendes Queue-Management für IGMP-Pakete. Wenn der Router ein hohes Volumen an präparierten IGMP-Paketen empfängt, weist der IGMP-Prozess für jedes eingehende Paket Speicher zu, ohne Limits für den Gesamtspeicherverbrauch durchzusetzen. Dies ermöglicht einem Angreifer, einen anhaltenden Strom präparierter IGMP-Pakete zu senden, die progressiv den gesamten verfügbaren Prozessspeicher verbrauchen. Bei Speichererschöpfung wird der IGMP-Prozess instabil und stürzt ab, und der Speicherdruck kann auf andere kritische Routing-Prozesse übergreifen.
Mehr erfahren: CWE-400 — Unkontrollierter Ressourcenverbrauch
Auswirkungsanalyse
CVE-2020-3566 weist einen CVSS-3.1-Basiswert von 8.6 (HIGH) mit netzwerkbasierten Angriffscharakteristiken und einem geänderten Scope auf.
Vertraulichkeit (Keine): Diese Schwachstelle legt keine vertraulichen Informationen offen. Der Angriff zielt auf die Verfügbarkeit von Routing-Prozessen ab.
Integrität (Keine): Die Schwachstelle ermöglicht keine Modifikation von Gerätekonfigurationen oder Routing-Daten. Die Auswirkung beschränkt sich auf Ressourcenerschöpfung mit Dienstunterbrechung.
Verfügbarkeit (Hoch): Die primäre Auswirkung ist eine schwere Verfügbarkeitsverschlechterung. Die Speichererschöpfung im IGMP-Prozess greift auf andere Prozesse des Geräts über, einschließlich interner Routing-Protokolle (OSPF, IS-IS) und externer Routing-Protokolle (BGP). Wenn diese Routing-Prozesse instabil werden, kann das Gerät keine Routing-Adjazenzein mehr aufrechterhalten, was zu Route-Flapping und Konvergenzproblemen führt.
Scope (Geändert): Der CVSS-Scope ist geändert, was bedeutet, dass die Schwachstelle im IGMP/DVMRP-Prozess Ressourcen über den eigenen Sicherheitskontext hinaus beeinträchtigt. Die Speichererschöpfung beeinflusst die Gesamtstabilität des Geräts und kann Routing-Prozesse stören, die Netzwerke weit über das direkt angegriffene Gerät hinaus bedienen.
Exploit-Reifegrad
Aktive Ausnutzung: CVE-2020-3566 wird aktiv in der Praxis ausgenutzt. CISA hat diese Schwachstelle am 3. November 2021 in den Known Exploited Vulnerabilities Katalog aufgenommen, mit einer Behebungsfrist bis zum 3. Mai 2022. Ciscos ursprüngliches Advisory bestätigte, dass dem Unternehmen aktive Ausnutzungsversuche bekannt waren.
Zero-Day-Offenlegung: Diese Schwachstelle wurde von Cisco am 29. August 2020 als aktiv ausgenutzte Zero-Day-Schwachstelle offengelegt, bevor Patches verfügbar waren. Cisco stellte Übergangsmaßnahmen bereit, während Software-Updates entwickelt wurden.
Geringe Ausnutzungskomplexität: Der Angriff erfordert lediglich die Fähigkeit, präparierte IGMP-Pakete an ein betroffenes Gerät zu senden. IGMP ist ein Standard-Multicast-Protokoll, und das Erstellen manipulierter Pakete erfordert minimale technische Expertise.
EPSS-Kontext: Der EPSS-Score von 0,0505 (89,63. Perzentile) weist auf eine hohe Ausnutzungswahrscheinlichkeit hin, konsistent mit der bestätigten aktiven Ausnutzung.
Breite Angriffsfläche: Jedes IOS-XR-Gerät mit aktiviertem Multicast-Routing und einer IGMP-Traffic empfangenden Schnittstelle ist potenziell verwundbar.
Behebung
-
Cisco IOS XR Software-Updates anwenden. Installieren Sie die gepatchten Versionen gemäß dem Cisco Security Advisory cisco-sa-iosxr-dvmrp-memexh-dSmpdvfz. Das Update implementiert ordnungsgemäßes Queue-Management für IGMP-Pakete.
-
IGMP-Ratenlimitierung als Übergangsmaßnahme implementieren. Wenn sofortiges Patching nicht möglich ist, konfigurieren Sie IGMP-Ratenlimitierung auf betroffenen Schnittstellen, um die Rate eingehender IGMP-Pakete zu begrenzen.
-
DVMRP auf Schnittstellen deaktivieren, wo Multicast nicht benötigt wird. Reduzieren Sie die Angriffsfläche durch Deaktivierung von Multicast-Routing auf Schnittstellen, die es nicht erfordern. Verwenden Sie Access-Control-Listen, um IGMP-Traffic auf autorisierte Quellen einzuschränken.
-
Infrastruktur-Access-Control-Listen einsetzen. Implementieren Sie ACLs auf Geräteschnittstellen, um IGMP-Traffic von nicht vertrauenswürdigen Quellen zu filtern.
-
Gerätespeicherauslastung überwachen. Richten Sie SNMP- oder Streaming-Telemetrie-Alarme für abnormale Speicherverbrauchsmuster auf IOS-XR-Geräten ein, insbesondere in den IGMP- und Routing-Prozessen.
-
Routing-Protokoll-Resilienz implementieren. Konfigurieren Sie BGP- und IGP-Graceful-Restart sowie BFD-Timer, um die Auswirkungen von Prozessneusstarts durch Speichererschöpfung zu minimieren.
Technische Details
CVE-2020-3566 ist eine Speichererschöpfungsschwachstelle im Distance Vector Multicast Routing Protocol (DVMRP)-Feature von Cisco IOS XR Software. DVMRP ist ein Multicast-Routing-Protokoll, und die Schwachstelle betrifft speziell die IGMP-Paketverarbeitungskomponente, die DVMRP-Operationen unterstützt.
Die Schwachstelle besteht darin, dass der IGMP-Prozess kein ordnungsgemäßes Queue-Management oder Speicherzuweisungslimits bei der Verarbeitung eingehender IGMP-Pakete implementiert. Im Normalbetrieb empfängt und verarbeitet der IGMP-Prozess Multicast-Gruppenmitgliedschaftsnachrichten von Hosts und anderen Routern. Wenn ein Angreifer jedoch ein hohes Volumen an präparierten IGMP-Paketen sendet, weist der Prozess für jedes Paket ohne Drosselung Speicher zu, was zu progressivem Speicherverbrauch führt.
Der CVSS-Vektor (AV:N/AC:L/PR:N/UI:N/S:C/C:N/I:N/A:H) zeigt einen netzwerkbasierten Angriff mit geringer Komplexität, ohne Privilegien oder Benutzerinteraktion, und mit einem geänderten Scope. Der geänderte Scope ist entscheidend, weil die IGMP-Speichererschöpfung nicht nur den IGMP-Prozess zum Absturz bringt, sondern den gesamten Routing-Stack des Geräts destabilisiert.
Während der IGMP-Prozess verfügbaren Speicher verbraucht, werden andere Prozesse, die um denselben Speicherpool konkurrieren, ausgehungert. Dies betrifft BGP-, OSPF-, IS-IS- und LDP-Prozesse, die Routing-Adjazenzen und Label-Switching-Pfade aufrechterhalten. Wenn diese Prozesse keinen Speicher für Keepalive-Nachrichten oder Routing-Updates zuweisen können, fallen Adjazenzen aus und Routen werden zurückgezogen.
Cisco hat diese Schwachstelle am 29. August 2020 als aktiv ausgenutzte Zero-Day-Schwachstelle offengelegt und Übergangsmaßnahmen vor Verfügbarkeit der Patches bereitgestellt. Betroffen ist Cisco IOS XR Version 6.4.2 und andere Versionen mit aktiviertem DVMRP-Multicast-Routing.
Häufig gestellte Fragen
Wird CVE-2020-3566 aktiv ausgenutzt?
Ja, CVE-2020-3566 wird aktiv in der Praxis ausgenutzt. Cisco hat die Schwachstelle am 29. August 2020 als aktiv ausgenutzte Zero-Day-Schwachstelle offengelegt, bevor Patches verfügbar waren. CISA hat sie anschließend am 3. November 2021 in den Known Exploited Vulnerabilities Katalog aufgenommen. Die geringe Angriffskomplexität macht diese Schwachstelle für ein breites Spektrum von Bedrohungsakteuren zugänglich.
Welche Produkte sind von CVE-2020-3566 betroffen?
CVE-2020-3566 betrifft Cisco-Geräte mit IOS XR Software und aktiviertem DVMRP-Multicast-Routing-Feature. Die Schwachstelle ist in IOS XR Version 6.4.2 und anderen Versionen mit aktivem Multicast-Routing bestätigt. IOS XR wird auf Cisco Service-Provider-Routern einschließlich der Serien ASR 9000, NCS 5500 und CRS eingesetzt.
Wie behebe ich CVE-2020-3566?
Wenden Sie das Cisco IOS XR Software-Update aus dem Security Advisory an. Als Übergangsmaßnahmen implementieren Sie IGMP-Ratenlimitierung, deaktivieren Sie DVMRP auf Schnittstellen ohne Multicast-Bedarf und setzen Sie Access-Control-Listen ein, um IGMP-Traffic von nicht vertrauenswürdigen Quellen zu filtern. Überwachen Sie die Gerätespeicherauslastung zur frühzeitigen Erkennung von Ausnutzungsversuchen.
Wie schwerwiegend ist CVE-2020-3566?
CVE-2020-3566 ist mit einem CVSS-Score von 8.6 und einem geänderten Scope als HIGH eingestuft, was bedeutet, dass die Speichererschöpfung über den IGMP-Prozess hinaus auf andere Routing-Protokolle übergreift. Dies kann weitreichende Routing-Instabilität in Service-Provider- und Enterprise-Netzwerken verursachen. Die Offenlegung als aktiv ausgenutzte Zero-Day-Schwachstelle unterstreicht die reale Schwere.
Hilfe beim Schwachstellenmanagement?
Unsere Sicherheitsexperten helfen Ihnen bei der Priorisierung und Behebung von Schwachstellen.