Критическая уязвимость в Cisco ASA

В операционной системе Cisco ASA обнаружена критическая узявимость CVE-2016-1287 ^[1] в реализации протокола Internet Key Exchange (IKE) версии 1 и 2, позволяющая выполнять произвольный код или удалённо перезагрузить устройство специально сформированным UDP-пакетом. Ей присвоен наивысший уровень опасности.

Подробное описание:
blog.exodusintel.com/2016/02/10/firewall-hacking ^[2]

Узвимости подвержены следующие устройства:

• Cisco ASA 5500 Series Adaptive Security Appliances
• Cisco ASA 5500-X Series Next-Generation Firewalls
• Cisco ASA Services Module for Cisco Catalyst 6500 Series Switches and Cisco 7600 Series Routers
• Cisco ASA 1000V Cloud Firewall
• Cisco Adaptive Security Virtual Appliance (ASAv)
• Cisco Firepower 9300 ASA Security Module
• Cisco ISA 3000 Industrial Security Appliance

Уже доступны исправленные версии ОС:

Для большинства современных ОС исправление доступно в виде в промежуточных (Interim) версий, которые не видны при обновлении через ASDM, а на портале загрузки ^[3] четвёртая цифра версии указана только в Release Notes.
Не перепутайте файл прошивки при загрузке: для одноядерных 5500 это просто asaXXX-k8.bin, для многоядерных 5500-X имя будет вида asaXXX-X-smp-k8.bin, а для FirePOWER имеет другое расширение asaXXX-X-lfbff-k8.SPA.

В версии 9.1.7 уже нашли баг связанный с SNMP, который может вызвать циклическую перезагрузку некоторых устройств. Его и другие проблемы обсуждают в /networking ^[4].

Обходное решение

В качестве обходного решения TAC предлагает фильтровать пакеты для портов 500 и 4500:

Here is an example of control plane ACL allowing access from 1.1.1.1 and denying everything else:
access-list test permit udp host 1.1.1.1 any eq 500
access-list test permit udp host 1.1.1.1 any eq 4500
access-list test deny udp any any eq 500
access-list test deny udp any any eq 4500
access-list test permit ip any any
access-group test in interface outside control-plane

P. S.

Зоркил глаз Sourg ^[5] приметил абзац для тех, чей контракт истёк, сломался или потерялся. Для получения обновлений с инструкцией по установке обращайтесь в TAC с серийным номером и ссылкой на бюллетень:
www.cisco.com/en/US/support/tsd_cisco_worldwide_contacts.html ^[6]

P. P. S.

Вдохновившись бескорыстием Cisco, анонимус хотел выложить последние версии в свободный доступ, но потом заметил странное ^[7] в просьбе страждущего и впомнил про зависимости при обновлении без соблюдения которых можно потерять устройство, конфиг, здоровый сон и надежды на будущее.
Если вы уверены в своих силах и не боитесь преключений, то читайте релизноты, делайте бекап и ищите прошивки на Рутрекере, Руборде, Антициско и MegaSearch.

Автор: navion

Источник ^[8]