| 취약점ID |
29037 |
| 위험도 |
30 |
| 포트 |
161 |
| 프로토콜 |
UDP |
| 분류 |
CISCO |
| 상세설명 |
해당 CISCO IOS는 잘못된 ICMP Redirect 패킷 허용 취약점(CISCO 버그 ID CSCdx92043)을 가지고 있다. 이 취약점은 원격지의 공격자가 라우터로부터 통신을 가로채거나 방해하는 데에 도용될 수 있다. 이 취약점은 단지 IP 라우팅 옵션이 작동하지 않는(disable) 장비에만 영향을 준다. 디폴트로 IP 라우팅 옵션은 모든 라우터에서 작동하도록(enable) 되어 있으며, 이 때는 ICMP Redirect 패킷을 수신하고 인식은 하지만 그대로 무시한다. 반면, IP 라우팅 옵션이 사용되지 않는 라우터의 경우는 마치 호스트처럼 동작하여 ICMP redirect 패킷을 받아들인다(Accept). 따라서, 악의적인 공격자들이 위조된 ICMP redirect 패킷을 전송하게 되면, 라우터는 그 패킷을 받아들여 위조된 정보를 기반으로 라우팅 테이블을 갱신한다.
* 알림: 이 점검항목은 이 취약점을 점검하기 위해 해당 시스템의 버전정보만을 확인한다. 따라서 거짓 양성반응(False Positive)을 보일 수 있다. 이 점검항목은 또한 버전정보를 수집하기 위하여 읽기 권한의 SNMP Community 문자열을 필요로 한다. 이를 위해서는 정책 편집기에서 점검항목 "snmp/guessable/r"에 타당한 Community 문자열을 추가하여야 한다.
* 참고 사이트:
http://www.cisco.com/en/US/products/sw/iosswrel/ps1829/products_field_notice09186a0080149a04.shtml
http://www.securitytracker.com/alerts/2003/Feb/1006075.html
* 영향을 받는 플랫폼:
다음의 패치된 버전을 제외한 모든 Cisco IOS 버전
12.2(13.03)B
12.2(12.05)B
12.2(12.05)S
12.2(12.05)
12.2(12.02)S
12.2(12.02)T |
| 해결책 |
문제가 해결된 다음 Cisco IOS 버전들 중의 하나로 업그레이드 하여야 한다. 이 업그레이드들은 Cisco의 웹 사이트인 http://www.cisco.com 에 있는 Software Center를 통해 구할 수 있다:
12.2(13.03)B
12.2(12.05)B
12.2(12.05)S
12.2(12.05)
12.2(12.02)S
12.2(12.02)T
임시 조치방법으로는 수신된 ICMP redirect 패킷에 대해서 라우터가 갱신 작업을 하지 않도록 설정 명령을 변경한다.
Router(config)# no ip icmp redirect |
| 관련 URL |
(CVE) |
| 관련 URL |
6823 (SecurityFocus) |
| 관련 URL |
11306 (ISS) |
|
