Individuate 5 vulnerabilità 0-day su Cisco Discovery Protocol. Disponibili le patch

06/02/2020

CDP Cisco CVE-2020-3110 CVE-2020-3111 CVE-2020-3118 CVE-2020-3119 CVE-2020-3120 Vulnerabilità

 

Da una ricerca pubblicata ieri dalla società Armis sono emerse ben cinque vulnerabilità di tipo 0-day che coinvolgono varie implementazioni del protocollo Cisco CDP (Cisco Discovery Protocol). Da quanto si apprende dal comunicato, Armis ha informato Cisco nel mese di agosto 2019 ed ha fornito supporto al colosso per il rilascio delle patch.

Tali vulnerabilità, se sfruttate con successo, possono portare ad attacchi di tipo DoS (Denial of Service) o RCE (Remote Code Execution). Secondo i ricercatori, sono milioni i device potenzialmente impattati dalle falle individuate i cui dettagli sono stati ben riassunti in un apposito bollettino pubblicato dal CERT CC.

CDP è un protocollo di rete proprietario Cisco di Layer 2 (livello Data Link) che viene utilizzato per rilevare informazioni sulle apparecchiature Cisco collegate localmente. CDP è implementato di default in tutti i prodotti Cisco, inclusi switch, router, telefoni IP e telecamere. Un uso comune per CDP è per la gestione di telefoni IP. Ad esempio, CDP consente a uno switch di allocare una VLAN per la voce e un’altra per qualsiasi PC collegato in cascata al telefono. Le informazioni su queste VLAN separate vengono passate al telefono IP su CDP. Altro esempio riguarda il fatto che molti di questi dispositivi ricevono energia tramite Power over Ethernet o PoE, uno switch può negoziare quanta energia allocare per un determinato dispositivo ad esso collegato tramite pacchetti CDP.

La scoperta, soprannominata CDPwn, espone vulnerabilità che potrebbero consentire a un utente malintenzionato di assumere completamente il controllo di tutti questi dispositivi. Quattro delle cinque vulnerabilità riguardano l’esecuzione di codice in modalità remota (RCE) mentre una vulnerabilità è di tipo Denial of Service (DoS). Lo sfruttamento delle vulnerabilità di RCE può portare a:

  • Rottura della segmentazione della rete
  • Esfiltrazione dei dati del traffico di rete aziendale che attraversa switch e router di un’organizzazione
  • Ottenere l’accesso a dispositivi aggiuntivi sfruttando gli attacchi man-in-the-middle intercettando e alterando il traffico sul passaggio aziendale
  • Filtraggio dei dati di informazioni sensibili come telefonate da dispositivi come telefoni IP e feed video da telecamere IP

CVE e Prodotti impattati

Le vulnerabilità sono state individualmente associate a specifici CVE come di seguito elencati.

    • CVE-2020-3110:
      • Telecamere IP Cisco Video Surveillance serie 8000 con CDP abilitato quando eseguono una versione del firmware precedente alla 1.0.7.
    • CVE-2020-3111
      • Telefono per conferenze IP 7832
      • Telefono per conferenze IP 7832 con firmware multipiattaforma
      • Telefono per conferenze IP 8832
      • Telefono per conferenze IP 8832 con firmware multipiattaforma
      • Telefono IP 6821, 6841, 6851, 6861, 6871 con firmware multipiattaforma
      • Telefono IP 7811, 7821, 7841, 7861 Telefoni desktop
      • Telefono IP 7811, 7821, 7841, 7861 Telefoni desktop con firmware multipiattaforma
      • Telefono IP 8811, 8841, 8851, 8861, 8845, 8865 Telefoni desktop
      • Telefono IP 8811, 8841, 8851, 8861, 8845, 8865 Telefoni desktop con firmware multipiattaforma
      • Telefono per conferenze IP unificato 8831
      • Telefono per conferenze IP unificato 8831 per il controllo delle chiamate di terze parti
      • Telefono IP wireless 8821, 8821-EX
    • CVE-2020-3118
      • ASR 9000 Series Aggregation Services Routers
      • Carrier Routing System (CRS)
      • IOS XRv 9000 Router
      • Network Convergence System (NCS) 540 Series Routers
      • Network Convergence System (NCS) 560 Series Routers
      • Network Convergence System (NCS) 1000 Series Routers
      • Network Convergence System (NCS) 5000 Series Routers
      • Network Convergence System (NCS) 5500 Series Routers
      • Network Convergence System (NCS) 6000 Series Routers
    • CVE-2020-3119
      • Nexus 3000 Series Switches
      • Nexus 5500 Platform Switches
      • Nexus 5600 Platform Switches
      • Nexus 6000 Series Switches
      • Nexus 9000 Series Fabric Switches in Application Centric Infrastructure (ACI) mode
      • Nexus 9000 Series Switches in standalone NX-OS mode
      • UCS 6200 Series Fabric Interconnects
      • UCS 6300 Series Fabric Interconnects
      • UCS 6400 Series Fabric Interconnects
    • CVE-2020-3120
      • ASR 9000 Series Aggregation Services Routers
      • Carrier Routing System (CRS)
      • Firepower 4100 Series
      • Firepower 9300 Security Appliances
      • IOS XRv 9000 Router
      • MDS 9000 Series Multilayer Switches
      • Network Convergence System (NCS) 540 Series Routers
      • Network Convergence System (NCS) 560 Series Routers
      • Network Convergence System (NCS) 1000 Series
      • Network Convergence System (NCS) 5000 Series
      • Network Convergence System (NCS) 5500 Series
      • Network Convergence System (NCS) 6000 Series
      • Nexus 1000 Virtual Edge for VMware vSphere
      • Nexus 1000V Switch for Microsoft Hyper-V
      • Nexus 1000V Switch for VMware vSphere
      • Nexus 3000 Series Switches
      • Nexus 5500 Platform Switches
      • Nexus 5600 Platform Switches
      • Nexus 6000 Series Switches
      • Nexus 7000 Series Switches
      • Nexus 9000 Series Fabric Switches in Application Centric Infrastructure (ACI) mode
      • Nexus 9000 Series Switches in standalone NX-OS mode
      • UCS 6200 Series Fabric Interconnects
      • UCS 6300 Series Fabric Interconnects
      • UCS 6400 Series Fabric Interconnects

    Conclusioni

    Il CERT-PA raccomanda l’aggiornamento dei prodotti Cisco impattati dalle debolezze facendo riferimento a quanto indicato sul sito del produttore.