Stabsstelle DV-Sicherheit der
Universität Stuttgart (RUS-CERT)
https://cert.uni-stuttgart.de
logo
Meldung Nr: RUS-CERT-1374

[Cisco/IOS, PIX, ASA, FWSM, CM] Schwachstelle in Verschlüsselungsbibliothek
(2007-05-23 21:04:25.983882+00)

Quelle: http://www.cisco.com/warp/public/707/cisco-sa-20070522-crypto.shtml

Eine Schwachstelle in den kryptographischen Bibliotheken Crypto-C und Cert-C des Verschlüsselungssoftwareherstellers RSA Inc. kann dazu ausgenutzt werden, Netzkoppelelemente unter Cisco IOS oder IOS XR, PIX Firewall-Systeme, die ASA Security Appliance oder den Cisco Unified CallManager bzw. dessen beherbergendes Rechnersystem in einen unbenutzbaren Zustand zu versetzen.

Betroffene Systeme

Nicht betroffene Systeme

Einfallstor
Speziell formuliertes Datenobjekt in ASN.1-Notation insbesondere in Datenpaketen der folgenden Protokolle bzw. Formate:

Angriffsvoraussetzung
Ein Angreifer muss in der Lage sein, einem verwundbaren System eine entsprechend präparierte Nachricht über eine Netzwerkverbindung zu senden. Dabei ist es nicht erforderlich, dass der Angreifer ein gültiges und zugelassenes Zertifikat oder sonstige Authentifizierungsmittel und die damit verbundenen Autorisierungen besitzt.

Auswirkung
Nichtverfügbarkeit der aufrufenden Applikation oder des beherbergenden Rechnersystems
(Denial of Service)

Typ der Verwundbarkeit
unbekannt

Gefahrenpotential
Je nach Einsatz der Bibliothek mittel bis hoch
Im Falle der Verwundbarkeit zentraler Routers, Switches oder Firewallsysteme kann die erfolgreiche Ausnutzung dieser Schwachstelle zum Ausfall der zentralen Netzwerkinfrastruktur führen. Im Fall des CallManagers kann eine VoIP-Anlage in sofern gestört werden, als dass keine neuen Gespräche vermittelt werden können.
(Hinweise zur Einstufung des Gefahrenpotentials.)

Kontext
Die Abstract Syntax Notation 1 (ASN.1) spezifiziert, wie beliebige Daten in strukturierter Form abgelegt werden können. Sogenannte Encoding Rules legen fest, wie diese Daten in einen Strom von Bytes umzuwandeln sind. Dieser Bytestrom kann beispielsweise über ein Rechnernetz zu einem anderen System übertragen werden, welches den Bytestrom dekodieren kann und somit Zugriff auf die ursprünglichen, strukturierten Daten erhält.

Verschiedene Cisco-Systeme verwenden ASN.1 u.a. zur Codierung von Daten im Internet Security Association and Key Management Protocol (ISAKMP RFC2408), SSL, dem Threat Information Distribution Protocol (TIDP), dem Cisco IOS SIP Gateway Signaling Support Over TLS (SIP-TLS) und dem Extensible Authentication Protocol-Transport Layer Security (EAP-TLS).

Beschreibung
Eine Schwachstelle in den kryptographischen Bibliotheken Crypto-C und Cert-C des Verschlüsselungssoftwareherstellers RSA Inc., die in den o.g. Cisco-Produkten eingesetzt wird, kann dazu ausgenutzt werden, die aufrufende Applikation oder das beherbergende Rechnersystem bzw. Netzkoppelement in einen unbenutzbaren Zustand zu versetzen. Die Schwachstelle tritt auf, wenn Routinen der Bibliothek speziell formulierte Datenobjekte in ASN.1-Syntax verarbeiten. Diese Schwachstelle ist ebenfalls in der Meldung RUS-CERT#1372 beschrieben.

Um die Schwachstelle erfolgreich auszunutzen, muss der Angreifer lediglich in der Lage sein, einem verwundbaren System eine entsprechend präparierte Nachricht über eine Netzwerkverbindung zu senden. Dabei ist es nicht erforderlich, dass der Angreifer ein gültiges und zugelassenes Zertifikat oder sonstige Authentifizierungsmittel und die damit verbundenen Autorisierungen besitzt.

Insbesondere in Szenarien, in denen zentrale Router oder Switches bzw. ein Firewallsystem gegen diese Schwachstelle verwundbar sind, kann ein erfolgreicher Angriff zum Ausfall weiter Teile der Netzwerkinfrastruktur bzw der Firewall führen. Im Falle eines erfolgreichen Angriffs auf einen CallManager können ab dem Zeitpunkt seines Ausfalls keine neuen Gespräche mehr vermittelt werden.

Die Installation der bereitgestellten Patches ist daher dringend angeraten.

Gegenmaßnahmen

Vulnerability ID

Revisionen dieser Meldung

(og)

Weitere Artikel zu diesem Thema:

Hinweis
Die in diesem Text enthaltene Information wurde für die Mitglieder der Universität Stuttgart recherchiert und zusammengestellt. Die Universität Stuttgart übernimmt keinerlei Haftung für die Inhalte. Dieser Artikel darf ausschließlich in unveränderter Form und nur zusammen mit diesem Hinweis sowie dem folgenden Copyrightverweis veröffentlicht werden. Eine Veröffentlichung unter diesen Bedingungen an anderer Stelle ist ausdrücklich gestattet.

Copyright © 2017 RUS-CERT, Universität Stuttgart, https://cert.uni-stuttgart.de/


https://cert.uni-stuttgart.de/ticker/article.php?mid=1374