해커들, 통신사 급 라우터에서 실행되는 Cisco IOS XR 소프트웨어 악용 시도

Hackers are trying to exploit DoS flaw in Cisco IOS XR software running in carrier-grade routers

 

Cisco가 지난 주말 동안 공격자들이 통신사 급 라우터에서 실행되는 Cisco IOS XR Network OS에 존재하는 심각도 높은 메모리 소모 서비스 거부 (DoS) 취약점인 CVE-2020-3566을 악용하려 시도했다고 경고했습니다.

 

Cisco IOS XR Network OS는 현재 NCS 540 & 560, NCS 5500, 8000, ASR 9000 시리즈 라우터를 포함한 라우터 제품 군 다수에서 실행되고 있습니다.

 

이 취약점은 활성 인터페이스가 멀티캐스트 라우팅으로 설정되어 있을 경우 Cisco IOS XR Software 소프트웨어를 실행하는 모든 Cisco 기기에 영향을 미칩니다.

 

아직까지 이 취약점에 대한 패치가 아직까지 공개되지 않았습니다. Cisco는 보안 권고에 완화 방법만을 공개했습니다.

 

“Cisco IOS XR 소프트웨어 DVMRP(Distance Vector Multicast Routing Protocol) 기능에 존재하는 취약점으로 인해 인증되지 않은 원격 공격자가 영향을 받는 기기의 프로세스 메모리를 고갈시키는 것이 가능합니다.”

 

“2020년 8월 28일, Cisco의 제품 보안 대응팀(PSIRT)은 공격자가 실제 공격을 통해 이 취약점을 악용하려 시도하고 있다는 것을 발견했습니다.”

 

이 취약점은 IGMP 패킷에 대한 큐 관리 부족으로 인해 발생하며 공격자가 취약한 기기에 조작된 IGMP 트래픽을 전송하는 방식으로 악용할 수 있습니다.

 

공격이 성공하면 메모리가 고갈되어 내부 및 외부 라우팅 프로토콜을 포함한 다른 프로세스가 불안정해질 수 있습니다.

 

Cisco는 권고를 통해 사용자에게 igmp 인터페이스 명령을 실행하여 멀티 캐스트 라우팅이 활성화되어 있는지 확인할 것을 권장했습니다.

 

멀티캐스트 라우팅이 활성화되지 않은 IOS XR 라우터에서 명령을 실행할 경우 빈 아웃풋이 발생할 것입니다.

 

RP/0/0/CPU0:router# show igmp interface



Loopback0 is up, line protocol is up

  Internet address is 10.144.144.144/32

  IGMP is enabled on interface

  Current IGMP version is 3

  IGMP query interval is 60 seconds

  IGMP querier timeout is 125 seconds

  IGMP max query response time is 10 seconds

  Last member query response interval is 1 seconds

  IGMP activity: 3 joins, 0 leaves

  IGMP querying router is 10.144.144.144 (this system)

TenGigE0/4/0/0 is up, line protocol is up

  Internet address is 10.114.8.44/24

  IGMP is enabled on interface

  Current IGMP version is 3

  IGMP query interval is 60 seconds

  IGMP querier timeout is 125 seconds

  IGMP max query response time is 10 seconds

  Last member query response interval is 1 seconds

  IGMP activity: 9 joins, 4 leaves

  IGMP querying router is 10.114.8.11

 

 

Cisco는 권고를 통해 트래픽 속도를 감소시키고 취약점을 악용하기 위해 필요한 시간을 증가시키기 위한 속도 제한을 구현하는 등 고객의 필요에 따라 사용할 수 있는 다양한 완화법을 제시했습니다.

 

“고객은 현재 IGMP 트래픽 속도를 이해하고 있어야 하며, 현재 평균 속도 보다 낮은 속도로 설정해야 합니다. 또한 구성 모드에서 아래와 같이 lpts pifib hardware police flow igmp rate 명령을 입력할 수 있습니다.”

 

RP/0/0/CPU0:router(config)# lpts pifib hardware police flow igmp rate <value>

 

“이 명령은 익스플로잇 벡터를 제거하지는 않습니다.”

 

또한 사용자는 기존 인터페이스 액세스 제어 목록(ACL)에 대한 액세스 제어 항목(ACE) 또는 새로운 ACL을 구현하여 멀티캐스트 라우팅이 활성화된 인터페이스에 대한 인바운드 DVRMP 트래픽을 거부할 수 있습니다.

 

Cisco는 또한 IGMP 라우터 구성 모드에서 IGMP 트래픽 처리가 필요하지 않은 인터페이스에 대해 IGMP 라우팅을 비활성화하도록 권고했습니다.

 

 

 

출처:

https://securityaffairs.co/wordpress/107741/breaking-news/cisco-ios-xr-software-flaw.html

https://tools.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-iosxr-dvmrp-memexh-dSmpdvfz