{"$ref":"https://www.cert.ssi.gouv.fr/openapi.json","affected_systems":[{"description":"Cisco IOS et IOS XE utilisant la fonctionnalit\u00e9 Smart Install","product":{"name":"IOS XE","vendor":{"name":"Cisco","scada":false}}}],"affected_systems_content":null,"closed_at":"2018-07-30","content":"## Solution\n\nLe CERT-FR recommande l'installation de la mise \u00e0 jour fournie par Cisco\ndans les plus brefs d\u00e9lais.\n\nSe r\u00e9f\u00e9rer au bulletin de s\u00e9curit\u00e9 de l'\u00e9diteur pour l'obtention des\ncorrectifs (cf. section Documentation).\n","cves":[{"name":"CVE-2018-0171","url":"https://www.cve.org/CVERecord?id=CVE-2018-0171"}],"links":[{"title":"Outil permettant de v\u00e9rifier si un \u00e9quipement est vuln\u00e9rable \u00e0 la CVE-2018-0171","url":"https://github.com/Cisco-Talos/smi_check"},{"title":"Documentation Cisco sur la fonctionnalit\u00e9 Smart Install","url":"https://www.cisco.com/c/en/us/td/docs/switches/lan/smart_install/configuration/guide/smart_install/concepts.html"},{"title":"Bulletin de s\u00e9curit\u00e9 Cisco d'information\u00a0cisco-sa-20180409-smi du 9 avril 2018 sur la s\u00e9curisation de Smart Install","url":"https://tools.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-20180409-smi"},{"title":"Avis CERT-FR CERTFR-2018-AVI-156 Multiples vuln\u00e9rabilit\u00e9s dans les produits Cisco","url":"http://www.cert.ssi.gouv.fr/avis/CERTFR-2018-AVI-156"},{"title":"Publication de blogue Cisco Talos du 27 f\u00e9vrier 2018 relatif \u00e0 Smart Install Client","url":"http://blog.talosintelligence.com/2017/02/cisco-coverage-for-smart-install-client.html"},{"title":"Publication de blogue Embedi du 29 mars 2018 d\u00e9taillant les principes de la vuln\u00e9rabilit\u00e9 CVE-2018-0171","url":"https://embedi.com/blog/cisco-smart-install-remote-code-execution/"},{"title":"Publication de blogue Cisco du 27 f\u00e9vrier 2018 relatif \u00e0 Smart Install Client","url":"https://blogs.cisco.com/security/cisco-psirt-mitigating-and-detecting-potential-abuse-of-cisco-smart-install-feature"}],"reference":"CERTFR-2018-ALE-006","revisions":[{"description":"Version initiale","revision_date":"2018-04-06T00:00:00.000000"},{"description":"Ajout d'un bulletin Cisco sur les moyens \u00e0 mettre en \u0153uvre pour s\u00e9curiser Smart Install","revision_date":"2018-04-10T00:00:00.000000"},{"description":"Cl\u00f4ture de l'alerte","revision_date":"2018-07-30T00:00:00.000000"}],"risks":[{"description":"Ex\u00e9cution de code arbitraire \u00e0 distance"}],"summary":"Le 28 mars 2018, Cisco a publi\u00e9 une mise \u00e0 jour de s\u00e9curit\u00e9 pour ses\nlogiciels IOS et IOS XE b\u00e9n\u00e9ficiant de la fonctionnalit\u00e9 *Smart\nInstall*. Ce correctif concerne une faille de s\u00e9curit\u00e9 pouvant conduire\n\u00e0 une ex\u00e9cution de code arbitraire \u00e0 distance sur un \u00e9quipement mettant\nen \u0153uvre un client *Smart Install*.  \nLe 5 avril 2018, le blogue de Cisco Talos alerte sur la forte\nprobabilit\u00e9 d'exploitation de cette vuln\u00e9rabilit\u00e9 au regard de\nl'existence d'une preuve de concept et d'une recrudescence anormale du\ntraffic internet vers les services *Smart Install*.\n\nCette technologie a \u00e9t\u00e9 d\u00e9velopp\u00e9e afin de permettre le d\u00e9ploiement et\nla configuration automatique d'un commutateur selon un principe \"pr\u00eat \u00e0\nl'emploi\" (*plug and play*). Lors de la mise en service d'un appareil,\nce dernier pourra ainsi r\u00e9cup\u00e9rer sa configuration aupr\u00e8s d'un directeur\n*Smart Install*. Le r\u00f4le de directeur est tenu par un \u00e9quipement r\u00e9seau\nde niveau 3 qui d\u00e9livre une image et une configuration \u00e0 d\u00e9ployer aux\ndiff\u00e9rents produits ex\u00e9cutant le client *Smart Install* et venant\nl'interroger.\n\nLa vuln\u00e9rabilit\u00e9 corrig\u00e9e par Cisco, identifi\u00e9e en tant que\nCVE-2018-0171, touche la partie cliente de *Smart Install*. Un\ncommutateur configur\u00e9 pour utiliser *Smart Install* d\u00e9marre un serveur\nen \u00e9coute sur le port 4786 en TCP. Un paquet de type\n<strong>ibd_init_discovery_msg</strong> sp\u00e9cifiquement forg\u00e9 et transmis au client\npeut alors causer un d\u00e9passement de tampon sur la pile et conduire \u00e0 la\ncompromission de l'\u00e9quipement.\n\nLe CERT-FR recommande la mise en \u0153uvre des actions suivantes afin de\nd\u00e9tecter tout appareil vuln\u00e9rable pr\u00e9sent au sein du r\u00e9seau.\n\n-   V\u00e9rifier dans le r\u00e9seau si des ports TCP 4786 sont actifs. Cela peut\n    \u00eatre r\u00e9alis\u00e9 \u00e0 l'aide d'un outil de scan de type Nmap.\n-   Contr\u00f4ler l'\u00e9tat des interfaces r\u00e9seau au niveau d'un \u00e9quipement en\n    utilisant la commande <strong>show tcp brief all</strong> et identifier si le\n    port 4786 est en \u00e9coute.\n-   V\u00e9rifier si la fonctionnalit\u00e9 *Smart Install* est active avec le\n    r\u00f4le de client en ex\u00e9cutant la commande <strong>show vstack config</strong>.\n-   Identifier si la version du logiciel IOS ex\u00e9cut\u00e9e par l'\u00e9quipement\n    est vuln\u00e9rable avec la commande <strong>show version</strong>. Se r\u00e9f\u00e9rer au\n    bulletin de s\u00e9curit\u00e9 de l'\u00e9diteur pour obtenir une liste des\n    versions concern\u00e9es par la vuln\u00e9rabilit\u00e9\n-   Un script mis \u00e0 disposition par Cisco permet \u00e9galement de scanner un\n    appareil pour identifier s'il est vuln\u00e9rable (cf. section\n    Documentation).\n","title":"Vuln\u00e9rabilit\u00e9 dans Cisco IOS et IOS XE Smart Install Client","vendor_advisories":[{"published_at":null,"title":"Bulletin de s\u00e9curit\u00e9 Cisco du 28 mars 2018","url":"https://tools.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-20180328-smi2"}]}