DoS-Lücke in Cisco IOS gefährdet Router der Internet Provider [Update]
Zusammenfassung
Eine DoS-Lücke in Ciscos IOS erlaubte 2007, Router über den Befehl „show ip bgp regexp“ mit bestimmten regulären Ausdrücken zum Neustart zu bringen. Viele Provider boten solche Befehle öffentlich per Telnet-Route-Server oder Looking-Glass-Webseite an; wiederholte Neustarts konnten dazu führen, dass andere Netze die Routen des Providers ignorierten. Als Workaround filterten Provider die Ausdrücke oder sperrten den Befehl, Cisco empfahl die „Deterministic Regular Expression Engine“.
Ideen
- Öffentliche Diagnosezugänge zu Routern werden zur Angriffsfläche.
- Ein Router-Neustart zwingt zum Neuaufbau der BGP-Tabelle.
- Häufig wegfallende Routen werden von anderen Netzen zeitweise unterdrückt.
- Looking-Glass-Webseiten reichen Parameter oft ungefiltert an Core-Router weiter.
Einsichten
- Ein lokaler Absturz kann über BGP-Dämpfung zur Unerreichbarkeit eines ganzen Netzes werden.
- Dedizierte Route-Server ohne Routing-Aufgaben begrenzen das Risiko öffentlicher Diagnosedienste.
Fakten
- Laut Cisco ähnelte der Fehler einem seit 2005 bekannten Problem.
- Details zur Lücke kursierten bereits in IRC-Kanälen, bevor ein Update verfügbar war.
Referenzen
Kritik
- Die Tragweite bleibt vage, weil unklar ist, wie viele Provider Looking-Glass-Anfragen direkt auf produktive Router leiteten.
Empfehlungen
- Leite öffentliche Looking-Glass- und Route-Server-Anfragen nie auf produktive Core-Router.
- Beschränke Diagnosebefehle mit freien Parametern auf vertrauenswürdige Nutzer.
Links zur Originalquelle und zum Webarchiv öffnen einen neuen Tab.