CERTFR-2018-ALE-006
Vulnerability from certfr_alerte

Le 28 mars 2018, Cisco a publié une mise à jour de sécurité pour ses logiciels IOS et IOS XE bénéficiant de la fonctionnalité Smart Install. Ce correctif concerne une faille de sécurité pouvant conduire à une exécution de code arbitraire à distance sur un équipement mettant en œuvre un client Smart Install.
Le 5 avril 2018, le blogue de Cisco Talos alerte sur la forte probabilité d'exploitation de cette vulnérabilité au regard de l'existence d'une preuve de concept et d'une recrudescence anormale du traffic internet vers les services Smart Install.

Cette technologie a été développée afin de permettre le déploiement et la configuration automatique d'un commutateur selon un principe "prêt à l'emploi" (plug and play). Lors de la mise en service d'un appareil, ce dernier pourra ainsi récupérer sa configuration auprès d'un directeur Smart Install. Le rôle de directeur est tenu par un équipement réseau de niveau 3 qui délivre une image et une configuration à déployer aux différents produits exécutant le client Smart Install et venant l'interroger.

La vulnérabilité corrigée par Cisco, identifiée en tant que CVE-2018-0171, touche la partie cliente de Smart Install. Un commutateur configuré pour utiliser Smart Install démarre un serveur en écoute sur le port 4786 en TCP. Un paquet de type ibd_init_discovery_msg spécifiquement forgé et transmis au client peut alors causer un dépassement de tampon sur la pile et conduire à la compromission de l'équipement.

Le CERT-FR recommande la mise en œuvre des actions suivantes afin de détecter tout appareil vulnérable présent au sein du réseau.

  • Vérifier dans le réseau si des ports TCP 4786 sont actifs. Cela peut être réalisé à l'aide d'un outil de scan de type Nmap.
  • Contrôler l'état des interfaces réseau au niveau d'un équipement en utilisant la commande show tcp brief all et identifier si le port 4786 est en écoute.
  • Vérifier si la fonctionnalité Smart Install est active avec le rôle de client en exécutant la commande show vstack config.
  • Identifier si la version du logiciel IOS exécutée par l'équipement est vulnérable avec la commande show version. Se référer au bulletin de sécurité de l'éditeur pour obtenir une liste des versions concernées par la vulnérabilité
  • Un script mis à disposition par Cisco permet également de scanner un appareil pour identifier s'il est vulnérable (cf. section Documentation).

Solution

Le CERT-FR recommande l'installation de la mise à jour fournie par Cisco dans les plus brefs délais.

Se référer au bulletin de sécurité de l'éditeur pour l'obtention des correctifs (cf. section Documentation).

None
Impacted products
Vendor Product Description
Cisco IOS XE Cisco IOS et IOS XE utilisant la fonctionnalité Smart Install
References

Show details on source website

To clipboard 

{
  "$ref": "https://www.cert.ssi.gouv.fr/openapi.json",
  "affected_systems": [
    {
      "description": "Cisco IOS et IOS XE utilisant la fonctionnalit\u00e9 Smart Install",
      "product": {
        "name": "IOS XE",
        "vendor": {
          "name": "Cisco",
          "scada": false
        }
      }
    }
  ],
  "affected_systems_content": null,
  "closed_at": "2018-07-30",
  "content": "## Solution\n\nLe CERT-FR recommande l\u0027installation de la mise \u00e0 jour fournie par Cisco\ndans les plus brefs d\u00e9lais.\n\nSe r\u00e9f\u00e9rer au bulletin de s\u00e9curit\u00e9 de l\u0027\u00e9diteur pour l\u0027obtention des\ncorrectifs (cf. section Documentation).\n",
  "cves": [
    {
      "name": "CVE-2018-0171",
      "url": "https://www.cve.org/CVERecord?id=CVE-2018-0171"
    }
  ],
  "initial_release_date": "2018-04-06T00:00:00",
  "last_revision_date": "2018-07-30T00:00:00",
  "links": [
    {
      "title": "Outil permettant de v\u00e9rifier si un \u00e9quipement est vuln\u00e9rable \u00e0 la CVE-2018-0171",
      "url": "https://github.com/Cisco-Talos/smi_check"
    },
    {
      "title": "Documentation Cisco sur la fonctionnalit\u00e9 Smart Install",
      "url": "https://www.cisco.com/c/en/us/td/docs/switches/lan/smart_install/configuration/guide/smart_install/concepts.html"
    },
    {
      "title": "Bulletin de s\u00e9curit\u00e9 Cisco d\u0027information\u00a0cisco-sa-20180409-smi du 9 avril 2018 sur la s\u00e9curisation de Smart Install",
      "url": "https://tools.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-20180409-smi"
    },
    {
      "title": "Avis CERT-FR CERTFR-2018-AVI-156 Multiples vuln\u00e9rabilit\u00e9s dans les produits Cisco",
      "url": "http://www.cert.ssi.gouv.fr/avis/CERTFR-2018-AVI-156"
    },
    {
      "title": "Publication de blogue Cisco Talos du 27 f\u00e9vrier 2018 relatif \u00e0 Smart Install Client",
      "url": "http://blog.talosintelligence.com/2017/02/cisco-coverage-for-smart-install-client.html"
    },
    {
      "title": "Publication de blogue Embedi du 29 mars 2018 d\u00e9taillant les principes de la vuln\u00e9rabilit\u00e9 CVE-2018-0171",
      "url": "https://embedi.com/blog/cisco-smart-install-remote-code-execution/"
    },
    {
      "title": "Publication de blogue Cisco du 27 f\u00e9vrier 2018 relatif \u00e0 Smart Install Client",
      "url": "https://blogs.cisco.com/security/cisco-psirt-mitigating-and-detecting-potential-abuse-of-cisco-smart-install-feature"
    }
  ],
  "reference": "CERTFR-2018-ALE-006",
  "revisions": [
    {
      "description": "Version initiale",
      "revision_date": "2018-04-06T00:00:00.000000"
    },
    {
      "description": "Ajout d\u0027un bulletin Cisco sur les moyens \u00e0 mettre en \u0153uvre pour s\u00e9curiser Smart Install",
      "revision_date": "2018-04-10T00:00:00.000000"
    },
    {
      "description": "Cl\u00f4ture de l\u0027alerte",
      "revision_date": "2018-07-30T00:00:00.000000"
    }
  ],
  "risks": [
    {
      "description": "Ex\u00e9cution de code arbitraire \u00e0 distance"
    }
  ],
  "summary": "Le 28 mars 2018, Cisco a publi\u00e9 une mise \u00e0 jour de s\u00e9curit\u00e9 pour ses\nlogiciels IOS et IOS XE b\u00e9n\u00e9ficiant de la fonctionnalit\u00e9 *Smart\nInstall*. Ce correctif concerne une faille de s\u00e9curit\u00e9 pouvant conduire\n\u00e0 une ex\u00e9cution de code arbitraire \u00e0 distance sur un \u00e9quipement mettant\nen \u0153uvre un client *Smart Install*.  \nLe 5 avril 2018, le blogue de Cisco Talos alerte sur la forte\nprobabilit\u00e9 d\u0027exploitation de cette vuln\u00e9rabilit\u00e9 au regard de\nl\u0027existence d\u0027une preuve de concept et d\u0027une recrudescence anormale du\ntraffic internet vers les services *Smart Install*.\n\nCette technologie a \u00e9t\u00e9 d\u00e9velopp\u00e9e afin de permettre le d\u00e9ploiement et\nla configuration automatique d\u0027un commutateur selon un principe \"pr\u00eat \u00e0\nl\u0027emploi\" (*plug and play*). Lors de la mise en service d\u0027un appareil,\nce dernier pourra ainsi r\u00e9cup\u00e9rer sa configuration aupr\u00e8s d\u0027un directeur\n*Smart Install*. Le r\u00f4le de directeur est tenu par un \u00e9quipement r\u00e9seau\nde niveau 3 qui d\u00e9livre une image et une configuration \u00e0 d\u00e9ployer aux\ndiff\u00e9rents produits ex\u00e9cutant le client *Smart Install* et venant\nl\u0027interroger.\n\nLa vuln\u00e9rabilit\u00e9 corrig\u00e9e par Cisco, identifi\u00e9e en tant que\nCVE-2018-0171, touche la partie cliente de *Smart Install*. Un\ncommutateur configur\u00e9 pour utiliser *Smart Install* d\u00e9marre un serveur\nen \u00e9coute sur le port 4786 en TCP. Un paquet de type\n\u003cstrong\u003eibd_init_discovery_msg\u003c/strong\u003e sp\u00e9cifiquement forg\u00e9 et transmis au client\npeut alors causer un d\u00e9passement de tampon sur la pile et conduire \u00e0 la\ncompromission de l\u0027\u00e9quipement.\n\nLe CERT-FR recommande la mise en \u0153uvre des actions suivantes afin de\nd\u00e9tecter tout appareil vuln\u00e9rable pr\u00e9sent au sein du r\u00e9seau.\n\n-   V\u00e9rifier dans le r\u00e9seau si des ports TCP 4786 sont actifs. Cela peut\n    \u00eatre r\u00e9alis\u00e9 \u00e0 l\u0027aide d\u0027un outil de scan de type Nmap.\n-   Contr\u00f4ler l\u0027\u00e9tat des interfaces r\u00e9seau au niveau d\u0027un \u00e9quipement en\n    utilisant la commande \u003cstrong\u003eshow tcp brief all\u003c/strong\u003e et identifier si le\n    port 4786 est en \u00e9coute.\n-   V\u00e9rifier si la fonctionnalit\u00e9 *Smart Install* est active avec le\n    r\u00f4le de client en ex\u00e9cutant la commande \u003cstrong\u003eshow vstack config\u003c/strong\u003e.\n-   Identifier si la version du logiciel IOS ex\u00e9cut\u00e9e par l\u0027\u00e9quipement\n    est vuln\u00e9rable avec la commande \u003cstrong\u003eshow version\u003c/strong\u003e. Se r\u00e9f\u00e9rer au\n    bulletin de s\u00e9curit\u00e9 de l\u0027\u00e9diteur pour obtenir une liste des\n    versions concern\u00e9es par la vuln\u00e9rabilit\u00e9\n-   Un script mis \u00e0 disposition par Cisco permet \u00e9galement de scanner un\n    appareil pour identifier s\u0027il est vuln\u00e9rable (cf. section\n    Documentation).\n",
  "title": "Vuln\u00e9rabilit\u00e9 dans Cisco IOS et IOS XE Smart Install Client",
  "vendor_advisories": [
    {
      "published_at": null,
      "title": "Bulletin de s\u00e9curit\u00e9 Cisco du 28 mars 2018",
      "url": "https://tools.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-20180328-smi2"
    }
  ]
}


Log in or create an account to share your comment.




Tags
Taxonomy of the tags.




Sightings

Author Source Type Date

Nomenclature

  • Seen: The vulnerability was mentioned, discussed, or seen somewhere by the user.
  • Confirmed: The vulnerability is confirmed from an analyst perspective.
  • Published Proof of Concept: A public proof of concept is available for this vulnerability.
  • Exploited: This vulnerability was exploited and seen by the user reporting the sighting.
  • Patched: This vulnerability was successfully patched by the user reporting the sighting.
  • Not exploited: This vulnerability was not exploited or seen by the user reporting the sighting.
  • Not confirmed: The user expresses doubt about the veracity of the vulnerability.
  • Not patched: This vulnerability was not successfully patched by the user reporting the sighting.