發布日期：2008-09-24 更新日期：2008-09-26 受影響系統： Cisco IOS 12.3 Cisco IOS 12.2 Cisco uBR10012 描述： -------------------------------------------------------------------------------- BUGTRAQ ID: 31355 CVE(CAN) ID: CVE-2008-3807 Cisco

發布日期：2008-09-24
更新日期：2008-09-26

受影響系統：
Cisco IOS 12.3
Cisco IOS 12.2
Cisco uBR10012
描述：
--------------------------------------------------------------------------------
BUGTRAQ ID: 31355
CVE(CAN) ID: CVE-2008-3807

Cisco uBR10012是一款大型的高端寬帶路由器。

如果配置了線卡冗余的話，Cisco uBR10012系列設備需要與RF交換機通訊，這種通訊是基于SNMP的。如果Cisco uBR10012系列設備上啟用了線卡冗余，還會以擁有讀寫權限的默認團體字符串private自動啟用SNMP。由于對這個團體字符串沒有訪問限制，攻擊者可以利用這個團體字符串完全控制設備。

<*來源：Cisco安全公告

鏈接：http://secunia.com/advisories/31990/
http://www.cisco.com/warp/public/707/cisco-sa-20080924-ubr.shtml
*>

建議：
--------------------------------------------------------------------------------
臨時解決方法：

* 更改SNMP團體字符串并限制訪問。

以下配置示例為操作人員提供有關更改團體字符串并使用ACL添加SNMP訪問控制限制的信息。

access-list 90 permit host
access-list 90 permit host
access-list 90 permit host
access-list 90 deny any

redundancy
linecard-group 1 cable
rf-switch snmp-community

snmp-server community rw 90

在Cisco uBR10012設備上更改SNMP團體時，還必須在RF交換機上通過以下命令更改：

set SNMP COMMUNITY

如果Cisco IOS版本不支持更改團體字符串，可對默認的團體字符串應用訪問控制限制。以下配置示例為操作人員提供有關對默認團體字符串應用訪問控制限制的信息。

access-list 90 permit host
access-list 90 permit host
access-list 90 permit host
access-list 90 deny any

snmp-server community private rw 90

* 在網絡邊界使用基礎架構ACL（iACL）

!-- Permit SNMP (UDP port 161) packets from trusted hosts
!-- destined to infrastructure addresses.

!
access-list 150 permit udp TRUSTED_HOSTS MASK INFRASTRUCTURE_ADDRESSES MASK eq 161
!

!-- Deny SNMP (UDP port 161) packets from all other sources
!-- destined to infrastructure addresses.

!
access-list 150 deny udp any INFRASTRUCTURE_ADDRESSES MASK eq 161
!

!-- Permit/deny all other Layer 3 and Layer 4 traffic in
!-- accordance with existing security policies and
!-- configurations.

!

!-- Permit all other traffic to transit the device.

!
access-list 150 permit ip any any
!

!-- Apply iACL to interfaces in the ingress direction.

!
interface GigabitEthernet0/0
ip access-group 150 in
!

廠商補丁：

Cisco
-----
Cisco已經為此發布了一個安全公告（cisco-sa-20080924-ubr）以及相應補丁:
cisco-sa-20080924-ubr：Cisco uBR10012 Series Devices SNMP Vulnerability
鏈接：http://www.cisco.com/warp/public/707/cisco-sa-20080924-ubr.shtml

聲明：本網頁內容旨在傳播知識，若有侵權等問題請及時與本網聯系，我們將在第一時間刪除處理。TEL:177 7030 7066 E-MAIL:11247931@qq.com