搜索

[10530] 2016-09-22_方程式再曝0day漏洞超84万思科设备受影响

文档创建者：s7ckTeam
浏览次数：41
最后更新：2025-01-18
2016-09-22_方程式再曝0day漏洞超84万思科设备受影响 方 程 式 再 曝 0 d a y 漏 洞   |   超 8 4 万 思 科 设 备 受 影 响 欧 阳 洋 葱   F r e e B u f   2 0 1 6 - 0 9 - 2 2 前 一 阵 的 N S A 方 程 式 组 织 被 黑 事 件 ， 可 能 受 影 响 最 大 的 还 不 是 美 国 政 府 ， 而 是 思 科 — — 因 为 这 次 事 件 中 ， 公 布 了 大 量 针 对 思 科 安 全 产 品 的 漏 洞 利 用 工 具 ， 思 科 不 得 不 一 个 个 去 调 查 研 究 ， 确 认 漏 洞 存 在 与 否 ， 发 布 安 全 公 告 ， 着 手 漏 洞 修 复 。 我 们 已 经 对 其 中 的 E x t r a B a c o n 利 用 工 具 ， 和 涉 及 到 的 相 关 漏 洞 进 行 了 一 波 分 析 。 在 之 前 描 述 E x t r a B a c o n 的 文 章 中 ， 我 们 带 到 过 另 一 款 漏 洞 利 用 工 具 ， 即 B e n i g n C e r t a i n 。 这 款 工 具 专 门 针 对 思 科 的 P I X 防 火 墙 家 族 产 品 ， 此 工 具 可 用 于 解 密 V P N 流 量 。 思 科 那 个 时 候 已 经 发 布 了 相 应 的 安 全 公 告 ， 明 确 该 工 具 影 响 到 思 科 P I X 版 本 5 . 2 ( 9 ) - 6 . 3 ( 4 ) ， 但 不 影 响 7 . 0 及 更 新 版 本 。 早 在 2 0 0 9 年 的 时 候 ， P I X 产 品 线 就 已 经 不 再 更 新 了 ， 不 过 仍 有 大 量 企 业 和 政 府 在 广 泛 使 用 此 系 列 产 品 。 思 科 还 在 8 月 1 9 日 再 度 确 认 ， B e n i g n C e r t a i n 利 用 工 具 不 再 涉 及 其 它 漏 洞 。 然 而 就 在 这 两 天 ， 思 科 再 度 发 布 了 一 份 安 全 公 告 ， 明 确 编 号 为 然 而 就 在 这 两 天 ， 思 科 再 度 发 布 了 一 份 安 全 公 告 ， 明 确 编 号 为 C V E - 2 0 1 6 - 6 4 1 5 漏 洞 的 存 在 性 漏 洞 的 存 在 性 — — 这 也 是 这 也 是 B e n i g n C e r t a i n 工 具 利 工 具 利 用 的 漏 洞 。 用 的 漏 洞 。 又 一 个 漏 洞 被 发 现 又 一 个 漏 洞 被 发 现 C V E - 2 0 1 6 - 6 4 1 5 漏 洞 影 响 到 漏 洞 影 响 到 I O S 、 、 I O S   X E 和 和 I O S   X R 软 件 ： 具 体 影 响 到 软 件 ： 具 体 影 响 到 I O S   X R 版 本 版 本 4 . 3 . x 、 、 5 . 0 . x 、 、 5 . 1 . x 和 和 5 . 2 . x （ （ 5 . 3 . 0 及 更 新 版 及 更 新 版 本 不 受 影 响 ） ， 所 有 本 不 受 影 响 ） ， 所 有 I O S   X E ， 以 及 数 个 ， 以 及 数 个 I O S 版 本 ， 详 情 可 见 思 科 的 版 本 ， 详 情 可 见 思 科 的 安 全 公 告 安 全 公 告 。 。 C V E - 2 0 1 6 - 6 4 1 5 漏 洞 存 在 于 I K E v 1 包 处 理 代 码 中 ， 利 用 该 漏 洞 可 致 远 程 、 未 认 证 的 攻 击 者 获 取 存 储 内 容 （ m e m o r y   c o n t e n t s ） 。 思 科 的 安 全 公 告 中 提 到 ： “ 该 漏 洞 是 由 处 理 I K E v 1 安 全 会 话 请 求 的 部 分 代 码 条 件 检 查 不 足 所 致 。 要 利 用 该 漏 洞 ， 攻 击 者 可 构 造 I K E v 1 包 ， 并 发 送 至 受 影 响 设 备 （ 且 配 置 为 接 收 I K E v 1 安 全 协 商 请 求 ） 。 ” 据 说 已 经 有 黑 客 开 始 利 用 该 漏 洞 针 对 思 科 的 部 分 客 户 发 动 攻 击 ， 思 科 方 面 虽 然 已 经 在 安 全 公 告 中 发 布 了 I O C ， 但 尚 未 发 布 安 全 补 丁 。 不 过 思 科 针 对 I P S 发 布 了 检 测 签 名 ， 可 用 于 对 网 络 进 行 保 护 。 此 外 思 科 还 发 布 了 一 款 在 线 工 具 ， 用 户 以 此 可 了 解 产 品 是 否 受 到 此 漏 洞 的 影 响 。 8 4 万 思 科 系 统 受 到 影 响 万 思 科 系 统 受 到 影 响 为 了 了 解 这 个 漏 洞 的 影 响 范 围 ， 专 门 追 踪 网 络 犯 罪 、 协 助 僵 尸 网 络 调 查 的 组 织 S h a d o w s e r v e r   F o u n d a t i o n 针 对 I S A K M P （ I n t e r n e t 安 全 联
盟 密 钥 管 理 协 议 ） 进 行 了 一 次 全 球 型 的 互 联 网 扫 描 。 最 近 一 次 扫 描 是 在 昨 天 进 行 的 ， 持 续 了 大 约 两 个 半 小 时 。 “ 本 次 扫 描 是 为 了 寻 找 那 些 I K E v 1 包 处 理 代 码 中 存 在 漏 洞 的 设 备 ， 该 漏 洞 可 致 为 认 证 的 远 程 攻 击 者 获 取 存 储 内 容 ， 最 终 导 致 机 密 信 息 泄 露 … ” “ 这 个 项 目 的 目 标 就 是 要 找 出 存 在 漏 洞 的 系 统 ， 并 向 相 应 的 网 络 管 理 员 发 出 报 告 ， 做 出 补 救 。 这 些 存 在 漏 洞 的 设 备 已 经 融 合 到 我 们 的 报 告 中 ， 并 正 在 进 行 每 日 更 新 。 ” 按 照 S h a d o w s e r v e r   F o u n d a t i o n 所 说 ， 这 次 扫 描 和 调 查 是 在 思 科 的 鼎 力 协 助 下 进 行 的 ， 采 用 特 别 构 造 的 6 4 字 节 I S A K M P 包 收 集 来 自 被 检 测 设 备 的 响 应 。 原 本 包 的 尺 寸 达 到 了 2 6 0 0 字 节 ， 思 科 帮 忙 将 包 大 小 减 少 到 了 6 4 字 节 ， 详 情 可 查 看 这 份 报 告 ： 《 I S A K M P 扫 描 与 潜 在 漏 洞 》 。
扫 描 结 果 显 示 ， 存 在 C V E - 2 0 1 6 - 6 4 1 5 漏 洞 的 设 备 相 关 独 立 I P 超 过 8 4 万 个 。 全 球 范 围 内 ， 若 以 国 家 来 区 分 ， 那 么 漏 洞 存 在 数 量 的 大 致 情 况 如 上 图 所 示 。 美 国 受 到 的 影 响 当 然 是 最 大 的 ， 是 排 在 第 二 的 俄 罗 斯 的 6 倍 ， 中 国 恰 好 排 在 第 1 0 的 位 置 。
另 外 本 次 检 测 也 分 析 了 A S 号 （ 自 治 系 统 号 码 ） ， 大 致 情 况 如 上 图 所 示 ， 排 在 前 两 位 的 是 C o m c a s t 和 A T & T 的 网 络 I P ， 中 国 电 信 也 榜 上 有 名 。 思 科 已 经 在 敦 促 受 到 影 响 的 用 户 ， 通 过 I P S / I D S 解 决 方 案 来 保 护 存 在 漏 洞 的 产 品 。 我 们 在 稍 后 的 文 章 中 ， 还 会 对 我 们 在 稍 后 的 文 章 中 ， 还 会 对 B e n i g n C e r t a i n 利 用 工 具 和 利 用 工 具 和 C V E - 2 0 1 6 - 6 4 1 5 漏 洞 进 行 更 为 详 细 的 分 析 。 漏 洞 进 行 更 为 详 细 的 分 析 。 *   F r e e B u f 官 方 报 道 ， 作 者 ： 欧 阳 洋 葱 ， 未 经 许 可 禁 止 转 载
阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理