您现在的位置： IT专家网 > 安全子站 > 评论分析

Cisco IOS多个DLSw拒绝服务漏洞

作者: 绿盟科技, 　出处:IT专家网,　责任编辑: 韩博颖,　

2008-04-11 09:58

　　Cisco IOS在处理UDP和IP 91协议报文时存在多个漏洞，这些漏洞不影响TCP报文处理，成功攻击可能导致系统重启或设备内存泄露，造成拒绝服务的情况。

　　受影响系统：

　　Cisco IOS 12.4

　　Cisco IOS 12.3

　　Cisco IOS 12.2

　　Cisco IOS 12.1

　　Cisco IOS 12.0

　　描述：

　　BUGTRAQ ID: 28465

　　CVE(CAN) ID: CVE-2008-1152

　　Cisco IOS是思科网络设备中所使用的互联网操作系统。

　　数据-链路交换(DLSw)允许通过IP网络传输IBM系统网络架构(SNA)和网络基本输入/输出系统(NetBIOS)通讯。Cisco的DLSw实现还使用UDP 2067端口和IP 91协议进行快速顺序传输(FST)。

　　Cisco IOS在处理UDP和IP 91协议报文时存在多个漏洞，这些漏洞不影响TCP报文处理，成功攻击可能导致系统重启或设备内存泄露，造成拒绝服务的情况。

　　建议：

　　临时解决方法：

　　* 如下配置iACL　　

!--- Permit DLSw (UDP port 2067 and IP protocol 91) packets
　　!--- from trusted hosts destined to infrastructure addresses.
　　access-list 150 permit udp TRUSTED_HOSTS MASK INFRASTRUCTURE_ADDRESSES MASK eq 2067
　　access-list 150 permit 91 TRUSTED_HOSTS MASK INFRASTRUCTURE_ADDRESSES MASK
　　!--- Deny DLSw (UDP port 2067 and IP protocol 91) packets from
　　!--- all other sources destined to infrastructure addresses.
　　access-list 150 deny udp any INFRASTRUCTURE_ADDRESSES MASK eq 2067
　　access-list 150 deny 91 any INFRASTRUCTURE_ADDRESSES MASK
　　!--- Permit/deny all other Layer 3 and Layer 4 traffic in accordance
　　!--- with existing security policies and configurations
　　!--- Permit all other traffic to transit the device.
　　access-list 150 permit ip any any
　　interface serial 2/0
　　ip access-group 150 in

共2页。 1 2 :