Liebe Kolleginnen und Kollegen,

bitte beachten Sie die folgende Sicherheitsmeldung.

Betroffene Software:

Cisco IOS
Cisco IOS XE

Betroffene Plattformen:

Cisco Hardware

Mehrere Schwachstellen in der ‘Autonomic Networking’ Funktionalität von
Cisco IOS und Cisco IOS XE ermöglichen einem nicht authentisierten Angreifer
im benachbarten Netzwerk die Durchführung verschiedener
Denial-of-Service-Angriffe und das Ausspähen von Informationen sowie einem
entfernten, nicht authentisierten Angreifer das Umgehen von
Sicherheitsvorkehrungen und dadurch ebenfalls das Ausspähen von
Informationen.

Cisco bestätigt die Schwachstellen für Cisco IOS und IOS XE, wenn ‘Autonomic
Networking’ konfiguriert ist. Sicherheitsupdates oder Workarounds stehen
derzeit nicht bereit. Die Schwachstellen CVE-2017-6663 und CVE-2017-6665
betreffen laut Cisco sämtliche Versionen von Cisco IOS und IOS XE und die
Schwachstelle CVE-2017-6664 betrifft nach Angaben in der Sicherheitsmeldung
‘cisco-sa-20170726-anicrl’ alle Cisco IOS XE 16.x Versionen. Die
CVRF-Dateien und Cisco Bug IDs, die den jeweiligen Sicherheitsmeldungen
angehängt sind, machen hierzu teils widersprüchliche Angaben. Maßgebend sind
jedoch die Angaben aus den Sicherheitsmeldungen.

Der in den Sicherheitsmeldungen referenzierte ‘Cisco IOS Software Checker’
Aufschluss darüber geben, ob und von welchen der Schwachstellen eine
bestimmte Version von betroffen ist. Sobald Sicherheitsupdates zur Verfügung
stehen, wird hier auch angezeigt, welche Version alle referenzierten
Schwachstellen behebt.

CVE-2017-6665: Schwachstelle in Cisco IOS und IOS XE ermöglicht u.a.
Denial-of-Service-Angriff

Aus bisher unbekannten Gründen existiert eine Schwachstelle in der
‘Autonomic Networking’ Funktionalität in Cisco IOS und Cisco IOS XE. Ein
nicht authentisierter Angreifer im benachbarten Netzwerk kann diese
Schwachstelle ausnutzen und den Autonomic Control Plane (ACP) Kanal eines
betroffenen Systems zurücksetzen (Denial-of-Service), indem dieser
mitgeschnittene ACP-Datenpakete wieder einspielt. Die erfolgreiche
Ausnutzung der Schwachstelle ermöglicht dem Angreifer zudem, ACP-Datenpakete
im Klartext zu lesen, obwohl diese auf dem Autonomic Control Plane (ACP)
Kanal verschlüsselt übertragen werden sollten.

CVE-2017-6664: Schwachstelle in Cisco IOS XE ermöglicht u.a. Umgehen von
Sicherheitsvorkehrungen

In der ‘Autonomic Networking’ Funktionalität in Cisco IOS XE existiert eine
Schwachstelle, weil die Liste zurückgezogener Zertifikate (Certificate
Revocation List, CRL) nicht über die ‘Autonomic Control Plane’ (ACP) Kanäle
verteilt wird. Ein entfernter, nicht authentisierter Angreifer kann dies
ausnutzen, um einen in der Vergangenheit als vertrauenswürdig eingestuften
autonomen Knoten (Autonomic Node), dessen Zertifikat zurückgezogen wurde,
wieder in eine autonome Domäne einzufügen. Dort kann dieser unerlaubt auf
Informationen zugreifen, die innerhalb der Domäne verteilt werden.

CVE-2017-6663: Schwachstelle in Cisco IOS und IOS XE ermöglicht
Denial-of-Service-Angriff

Aufgrund einer unbekannten Bedingung im Programmcode der ‘Autonomic
Networking’ Funktionalität existiert eine Schwachstelle in Cisco IOS und
Cisco IOS XE. Ein nicht authentisierter Angreifer im benachbarten Netzwerk
kann diese Schwachstelle ausnutzen und den Autonomic Control Plane (ACP)
Kanal eines betroffenen Systems zurücksetzen, indem dieser mitgeschnittene
Datenpakete wieder einspielt. Dadurch startet das Gerät neu
(Denial-of-Service, DoS).

Referenzen:

Dieses Advisory finden Sie auch im DFN-CERT Portal unter:
https://portal.cert.dfn.de/adv/DFN-CERT-2017-1294/

Cisco Security Advisory cisco-sa-20170726-aniacp (CVE-2017-6665):
https://tools.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-20170726-aniacp

Cisco Security Advisory cisco-sa-20170726-anicrl (CVE-2017-6664):
https://tools.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-20170726-anicrl

Cisco Security Advisory cisco-sa-20170726-anidos (CVE-2017-6663):
https://tools.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-20170726-anidos

Schwachstelle CVE-2017-6663 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2017-6663

Schwachstelle CVE-2017-6664 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2017-6664

Schwachstelle CVE-2017-6665 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2017-6665

(c) DFN-CERT Services GmbH, all rights reserved!
Die Weiterverbreitung ist mit Hinweis auf den Copyrightinhaber innerhalb der
eigenen Einrichtung erlaubt. Eine darüber hinausgehende Verbreitung bedarf
des schriftlichen Einverständnisses des Rechteinhabers.