| 취약점ID |
29044 |
| 위험도 |
30 |
| 포트 |
80, ... |
| 프로토콜 |
TCP |
| 분류 |
CISCO |
| 상세설명 |
해당 Cisco VPN 3000 시리즈 concentrator는 다중의 취약점들을 가지고 있다. 이 취약점들은 각각 Cisco 버그 ID CSCea77143 (IPSec over TCP), CSCdz15393 (SSH), 그리고 CSCdt84906 (ICMP) 으로 문서화되어 있다.
1. CSCea77143 - VPN 3000 시리즈 concentrator상의 어떤 포트에 "IPSec over TCP"가 작동한다면 그 포트를 통해 TCP 트래픽들이 드나들 수 있으며 비공인(private) 네트워크를 액세스할 수 있다.
2. CSCdz15393 - 초기 SSH 세션이 이루어질 동안 보내진 악의적인 형태의 SSH 초기화 패킷은 VPN 3000 시리즈 concentrator를 재시작(reload) 시킬 수 있다.
3. CSCdt84906 - 다량의 악의적인 형태의 ICMP 패킷들은 VPN 3000 시리즈 concentrator에 대한 성능저하를 초래하게 하거나 심지어 concentrator가 재시작(reload)하게 할 수 있다.
* 알림: 이 점검항목은 이 취약점을 점검하기 위해 해당 시스템의 버전정보만을 확인한다. 따라서 거짓 양성반응(False Positive)을 보일 수 있다. 이 점검항목은 또한 버전정보를 수집하기 위하여 읽기 권한의 SNMP Community 문자열을 필요로 한다. 이를 위해서는 정책 편집기에서 점검항목 "snmp/guessable/r"에 타당한 Community 문자열을 추가하여야 한다.
* 참고 사이트:
http://www.cisco.com/warp/public/707/cisco-sa-20030507-vpn3k.shtml
* 영향을 받는 플랫폼:
2.x.x
3.6.7F 이전의 3.x.x
4.0.1 이전의 4.x.x |
| 해결책 |
VPN 3000 시리즈 concentrator의 가장 최신 버전 (4.0.1 혹은 3.6.7F 이상)으로 업그레이드 하여야 한다. 이 업그레이드들은 Cisco의 웹 사이트인 www.cisco.com/cisco/pub/software/portal/select.html?i=!s&mdfid=268438163 에 있는 Software Center를 통해 구할 수 있다.
임시 조치방법들:
CSCdt84906의 경우 :
VPN concentrator 상에서 "IPSec over TCP"에 의해 사용되도록 설정된 포트들 상에서 송출 트래픽(outgoing traffic)을 제한하도록, 비공인(private) 인터페이스에 대한 필터에 룰(rule)들을 추가한다. 이렇게 하게 되면 공인 네트웍으로부터의 트래픽이 VPN 3000 concentrator 자체뿐만 아니라 비공인 네트웍상에 있는 서버들까지 액세스하지 못하게 해 준다.
CSCdt84906의 경우 :
신뢰성있는 클라이언트 호스트들로부터의 접속만이 허용되어 질 수 있도록 인터페이스들에 대한 필터(filter)들에 대해 적절한 룰(rule)을 적용하는 방법으로 VPN 3000 시리즈 concentrator상에 있는 SSH 서버로의 액세스를 제한한다.
CSCdt84906의 경우 :
VPN 3000 시리즈 concentrator의 인터페이스에 정당한 ICMP 트래픽만이 도달할 수 있게 한다.
자세한 내용은 다음 사이트에서 볼 수 있다:
http://www.cisco.com/warp/public/707/cisco-sa-20030507-vpn3k.shtml |
| 관련 URL |
CVE-2003-0258,CVE-2003-0259,CVE-2003-0260 (CVE) |
| 관련 URL |
(SecurityFocus) |
| 관련 URL |
11954,11955,11956 (ISS) |
|
