English

◀◁ 뒤로 취약점ID 29058 위험도 30 포트 161 프로토콜 UDP 분류 CISCO 상세설명 해당 Cisco 12000 시리즈 인터넷 라우터는 ICMP Unreachable 취약점(Cisco 버그 ID CSCdr46528, CSCdt66560, CSCds36541)을 가지고 있다. 이 취약점은 서비스 거부(DoS) 공격에 도용될 수 있다. 취약점의 성공적인 도용은 라우터의 성능을 떨어뜨리고 최악의 경우, 라우터의 패킷 포워딩(forwarding)을 중단시킨다. 패킷을 폐기(drop)할 때마다 라우터는 패킷을 보낸 호스트에게 ICMP unreachable 패킷을 응답해 주어야 한다. 라우터가 ICMP unreachable 응답이 요구되는 대량의 트래픽을 수신할 때, 이 응답을 처리하기 위해서 CPU에 과부하가 걸린다. 이러한 현상은 라우터에 "Black Hole" 필터링, 즉 네트워크의 디폴트 경로로써, 혹은 라우터에 대한 직접적인 서비스 거부 공격으로부터 라우터로 보내진 패킷들을 폐기할 때 일어날 수 있다. "Black Hole" 필터링에 대한 자세한 정보는 다음 URL에 있는 문서 "Essential IOS Features Every ISP Should Consider" 의 "Black Hole Routing as a Packet Filter" 섹션을 참고하라: http://www.cisco.com/public/cons/isp/documents/IOSEssentialsPDF.zip * 알림: 이 점검항목은 이 취약점을 점검하기 위해 해당 시스템의 버전정보만을 확인한다. 따라서 거짓 양성반응(False Positive)을 보일 수 있다. 이 점검항목은 또한 버전정보를 수집하기 위하여 읽기 권한의 SNMP Community 문자열을 필요로 한다. 이를 위해서는 정책 편집기에서 점검항목 "snmp/guessable/r"에 타당한 Community 문자열을 추가하여야 한다. * 참고 사이트: http://www.cisco.com/warp/public/707/GSR-unreachables-pub.shtml * 영향을 받는 플랫폼: Cisco 12000 시리즈 인터넷 라우터들 Cisco IOS 소프트웨어 릴리즈 12.0S Cisco IOS 소프트웨어 릴리즈 12.0ST 해결책 다음 Cisco 보안 권고안(ICMP Unreachable Vulnerability)의 "Software Versions and Fixes" 를 참조하여 문제가 해결된 버전으로 업그레이드 하여야 한다: http://www.cisco.com/warp/public/707/GSR-unreachables-pub.shtml 업그레이드들은 Cisco 웹 사이트인 http://www.cisco.com 에 있는 Software Center를 통해 구할 수 있다. 임시 조치방법으로, 다음 명령을 사용하여 라우터가 ICMP unreachable 응답들을 보내지 않도록 하여야 한다. 이 명령은 네트워크 인터페이스에 적용하여야 한다. router(config)#interface ethernet 0 router(config-if)#no ip unreachables -- 또는 -- ICMP unreachable 패킷이 전송되는 시간 간격을 제한하여야 한다. router(config)#ip icmp rate-limit unreachable n n = 연속되는 2개 ICMP unreachable 패킷 사이의 시간 간격(ms). 디폴트 값은 500ms. 자세한 내용은 다음 사이트에서 볼 수 있다: http://www.cisco.com/warp/public/707/GSR-unreachables-pub.shtml 관련 URL CVE-2001-0861,CVE-2001-0862,CVE-2001-0863,CVE-2001-0864,CVE-2001-0865,CVE-2001-0866,CVE-2001-0867 (CVE) 관련 URL 3534,3535,3536,3537,3538,3539,3540 (SecurityFocus) 관련 URL 7536,7550,7551,7552,7553,7554,7555 (ISS)