Risque
- Contournement des règles de filtrage des routeurs
Systèmes affectés
Les systèmes affectés sont les routeurs CISCO possédant IOS Firewall Feature Set, aussi appelé CISCO Secure Integrated Software, ou encore Context Based Access Control (CBAC) inclus dans IOS depuis sa version 11.2p.
Pour être affectés, le fichier de configuration du routeur doit contenir les lignes servant à appliquer les règles ip inspect.
(Pour déterminer si un routeur supporte CBAC, le nom de son fichier image contient un « o », comme dans c2600-io3-m par exemple).
Résumé
Il est possible d'envoyer depuis l'extérieur d'un réseau filtré par CBAC des données non autorisées.
Description
CBAC est un complément d'IOS permettant d'établir des ACL (Access Control Lists ou règles de filtrage) dynamiques sur un routeur.
Lorsque une connexion est établie vers l'extérieur d'un réseau filtré par le routeur, une ACL dynamique est mise en place, et autorise le trafic entrant correspondant à cette session.
Une vulnérabilité dans la gestion de ces ACL dynamiques permet de contourner le filtrage. Lors du filtrage du trafic, seuls les adresses sources et destination et le numéros de ports sont vérifiés, et pas le protocole utilisé. Il est donc possible d'envoyer un paquet de type différent dans le réseau filtré par le routeur.
Solution
Appliquer les correctifs comme indiqué dans le bulletin de sécurité CISCO (voir la section Documentation).
Documentation
- Bulletin de sécurité de CISCO : http://www.cisco.com/warp/public/707/IOS-cbac-dynacl/pub.shtml
