Vulnerabilità in Cisco NX-OS (IP-in-IP)

Proto: N020620.

Con la presente Yoroi desidera informarla relativamente alla scoperta di vulnerabilità all’interno di vari apparati di rete ed IoT di Cisco, HP, Treck e Digi International. La criticità è nota con l’identificativo CVE-2020-10136.

A causa di lacune nelle logiche di gestione dei pacchetti IP annidati all’interno di altri pacchetti IP, come da standard IP-in-IP (RFC 2003), un attaccante di rete privo di alcuna autenticazione può ingannare i dispositivi bersaglio sfruttandoli per compiere attacchi Reflective DDoS ai danni di terze parti arbitrarie. In alcuni casi, come per i dispositivi Cisco,  l’attaccante può inoltre essere in grado di bypassare i controlli di accesso (ACL) configurati sugli apparati, così da violare le segmentazioni di rete applicate.

Produttori come Cisco e Digi International hanno confermato la problematica e rilasciato opportuni aggiornamenti attraverso appositi bollettini di sicurezza (CISOC-SA-NXOS-IPIP-DOS-KCT9X4,  Digi-CVE-2020-10136). In dettaglio:

• Prodotti Cisco con con versioni NX-OS vulnerabili:
  • Nexus 1000 Virtual Edge for VMware vSphere
  • Nexus 1000V Switch for Microsoft Hyper-V
  • Nexus 1000V Switch for VMware vSphere
  • Nexus 3000 Series Switches
  • Nexus 5500 Platform Switches
  • Nexus 5600 Platform Switches
  • Nexus 6000 Series Switches
  • Nexus 7000 Series Switches
  • Nexus 9000 Series Switches in standalone NX-OS mode
  • UCS 6200 Series Fabric Interconnects
  • UCS 6300 Series Fabric Interconnects
• Prodotti Digi International con versioni firmware vulnerabili:
  • Router Serie WR11
  • Router Serie WR21
  • Router Serie WR31
  • Router Serie WR41 
  • Router Serie WR44

Considerata la potenziale esposizione di rete dei dispositivi afflitti, la disponibilità di dettagli tecnici a riguardo, e gli scenari di attacco su larga scala abilitabili dallo sfruttamento della vulnerabilità, Yoroi consiglia di pianificare l’applicazione degli aggiornamenti firmware a disposizione, valutare l'abilitazione di IPS e filtraggi a monte dei dispositivi, e di monitorare le conferme dagli ulteriori Vendor che stanno in questi giorni accertando lo stato di vulnerabilità dei loro dispositivi.  

 Yoroi consiglia infine di mantenere alto il livello di consapevolezza degli utenti, avvisandoli periodicamente delle minacce in corso e di utilizzare un team di esperti per salvaguardare la sicurezza del perimetro “cyber”. Per avere un indice di minaccia in tempo reale si consiglia di visitare il seguente link: Yoroi Cyber Security Index