Cisco предупредила о множественных уязвимостях в операционной системе IOS XR, которая управляет маршрутизаторами и коммутаторами операторского класса. Проблемы затрагивают все выпуски IOS XR, включая вариант IOS XR7 (LNT), и при определённых условиях позволяют удалённому злоумышленнику вызвать отказ в обслуживании, обойти механизмы защиты, раскрыть чувствительные данные, модифицировать информацию или выполнить произвольный код на устройстве. Максимальная оценка опасности по шкале CVSS достигает 9,8 балла из 10.
Детали уязвимостей
Всего в релизе безопасности перечислены семь уязвимостей, сгруппированных по классам ошибок. Две из них получили наивысший балл. Первая связана с некорректным управлением жизненным циклом ресурсов: сюда входят переполнение буфера, обращение к памяти после освобождения и выход за границы выделенной области. Вторая относится к несостоятельному контролю доступа: она охватывает ошибочную проверку сертификатов, отсутствие или неправильную аутентификацию и авторизацию, а также некорректную выдачу прав. Остальные уязвимости затрагивают неверные целочисленные расчёты, ошибки управления потоком выполнения, недостаточную проверку входных данных, неправильную нейтрализацию спецсимволов и сбои при обработке исключительных ситуаций.
Поскольку проблемы обнаружены в программном обеспечении маршрутизации, под удар попадают ключевые сетевые функции. Уязвимости выявлены в таких компонентах, как межсетевой протокол BGP, протоколы динамической маршрутизации OSPF и IS-IS, механизмы MPLS и сегментной маршрутизации, а также в реализации туннелей IKE, подсистеме мониторинга IP SLA и механизме автоматической настройки ZTP. Практическое значение этих находок в том, что IOS XR применяется на магистральных маршрутизаторах Cisco 8000, платформах серии NCS и другом оборудовании операторов связи. Взлом такого узла позволяет нарушителю перехватывать трафик, перестраивать маршруты или останавливать работу сетевого сегмента.
Особенность раскрытия в том, что все уязвимости обнаружила сама Cisco в ходе внутреннего тестирования. По заявлению компании, при поиске ошибок использовались в том числе передовые модели искусственного интеллекта. Cisco не располагает данными о публикации эксплойтов или реальных атаках с использованием этих уязвимостей. Тем не менее, отсутствие обходных путей защиты и широкая распространённость затронутого ПО делают установку обновлений обязательной мерой.
Производитель уже выпустил наборы программных корректировок SMU для ряда версий IOS XR. Например, для веток 7.9, 7.11, 24.2, 24.4, 25.2, 26.1 и 26.2 патчи доступны сейчас. Для некоторых выпусков в списке исправлений указаны будущие релизы, например 24.1.2, 25.1.2 и 26.3.1. Первыми полностью исправленными без необходимости дополнительных SMU станут версии 26.2.2 и 26.3.1. Поскольку точный перечень исправлений зависит от конкретной платформы и используемой сборки, администраторам оборудования следует сверить свою версию IOS XR с таблицей в бюллетене Cisco и установить соответствующий SMU либо спланировать переход на новую версию.
Пользователям, которые управляют сетями на базе маршрутизаторов Cisco, важно учитывать, что уязвимости признаны опасными независимо от наличия активных атак. Практика показывает, что публикация бюллетеня нередко провоцирует злоумышленников на анализ вышедших исправлений и создание эксплойтов в течение короткого времени после раскрытия. Поэтому затягивание с обновлением повышает риск того, что уязвимость будет использована против ещё не обновлённого оборудования.
Показательно и то, что очередной раз ошибки в сложном телекоммуникационном ПО обнаруживаются не внешними исследователями, а внутренней командой с применением ИИ-инструментов. Это подтверждает сдвиг в практике аудита безопасности: автоматизированные модели становятся полноценным инструментом поиска уязвимостей в коде, позволяя находить ошибки до того, как ими воспользуются атакующие. Для операторов сетей это одновременно и обнадёживающий, и тревожный сигнал: процесс усиления защиты продуктов ускоряется, но и количество выявляемых проблем требует всё более оперативного реагирования со стороны потребителей телекоммуникационного оборудования.
Ссылки
