报告编号：B6-2018-110102

报告来源：360-CERT

报告作者：360-CERT

更新日期：2018-11-01

0x00 事件背景

2018-10-31 Cisco官方发布安全预警，多款运行Cisco Adaptive Security Appliance (ASA)和 Cisco Firepower Threat Defense (FTD) 的设备受到影响。这两款软件均支持Session Initiation Protocol (SIP)。

在(SIP)检查引擎中的漏洞受到未经身份验证的远程攻击导致受影响的设备重新启动或持续高CPU占用率，从而导致拒绝服务(DoS)。该漏洞是由于SIP流量处理不当造成的。攻击者可以通过高速率发送特定的SIP请求到受影响的设备来利用此漏洞，导致设备崩溃重启。

0x01 影响范围

Cisco Adaptive Security Appliance (ASA) 9.4及以上 Cisco Firepower Threat Defense (FTD) 6.0及以上

影响如下设备

  • 3000 Series Industrial Security Appliance (ISA)
  • ASA 5500-X Series Next-Generation Firewalls
  • ASA Services Module for Cisco Catalyst 6500 Series Switches and Cisco 7600 Series Routers
  • Adaptive Security Virtual Appliance (ASAv)
  • Firepower 2100 Series Security Appliance
  • Firepower 4100 Series Security Appliance
  • Firepower 9300 ASA Security Module
  • FTD Virtual (FTDv)

默认情况下，Cisco ASA软件和Cisco FTD软件均启用SIP检查。所以影响较为广泛

已确认不影响如下设备

  • ASA 1000V Cloud Firewall
  • ASA 5500 Series Adaptive Security Appliances

0x02 修复建议

(ASA)设备可以通过如下命令来检查是否处于受影响的版本

ciscoasa# show version | include Version

(FTD)设备可以通过如下命令来检查是否处于受影响的版本

showversion

思科官方目前提出了三种解决方案来缓解受到的影响

选项1：阻止违规主机

用户可以使用访问控制列表（ACL）阻止来自连接表中的特定源IP地址的流量。 应用ACL后，请确保在执行模式下使用clear conn address <ip_address>命令清除该源IP的现有连接。 或者，可以在执行模式下使用shun <ip_address>命令回避违规主机。 这将阻止来自该源IP的所有数据包，而无需更改配置。 但是请注意，重启该方案会失效。

选项2：禁用SIP检查

禁用SIP检查将完全避免受到该漏洞的影响。 但是它可能不适合所有用户。 如果NAT应用于SIP流量，或者如果不是通过ACL打开SIP通信所需的所有端口，禁用SIP检查将破坏SIP连接。 要禁用SIP检查，请配置以下内容： Cisco ASA软件和Cisco FTD软件版本6.2及更高版本（在FTD 6.2及更高版本中使用Cisco FMC通过FlexConfig策略添加以下内容）

Cisco ASA Software and Cisco FTD Software Releases 6.2 and later (in FTD 6.2 and later use Cisco FMC toadd the following via FlexConfig policy):policy-map global_policy class inspection_default  no inspect sip Cisco FTD Software Releases priorto6.2: configure inspection sip disable

选项3：过滤发送地址0.0.0.0

在许多情况下，已发现违规流量将“已发送地址”设置为无效值0.0.0.0。 如果管理员确认违规流量在其环境中拥有相同的模式（例如通过数据包捕获确认），则可以应用以下配置来防止崩溃：

regex VIAHEADER "0.0.0.0" policy-map type inspect sip P1 parameters match message-path regex VIAHEADER droppolicy-map global_policyclass inspection_default no inspect sip inspect sip P1

在FTD 6.2及更高版本中，使用Cisco FMC通过FlexConfig策略添加此配置。

0x03 时间线

2018-10-31 Cisco官方发布预警

2018-11-01 360CERT发布预警

0x04 参考链接

  1. Cisco 官方预警

声明：本文来自360CERT，版权归作者所有。文章内容仅代表作者独立观点，不代表安全内参立场，转载目的在于传递更多信息。如有侵权，请联系 anquanneican@163.com。