[2018.11.01] Cisco Adaptive Security Appliance Software and Cisco Firepower Threat Defense Software DoS 취약점(CVE-2018-15454)

Cisco Adaptive Security Appliance Software and Cisco Firepower Threat Defense Software Denial of Service Vulnerability

CVE-2018-15454

<취약점> 

the Session Initiation Protocol (SIP) 점검 엔진에 취약점 존재. 

허가되지 않은 원격 원격자가 CPU 과부하를 일으키거나 리로드를 할 수 있어 DoS 공격이 가능. 

공격자는 이와 같은 공격을 위해 디자인한 많은 SIP 요청을 취약장비에 보내 공격이 가능

<취약원인>

부적절한 SIP 트래픽 처리

<취약대상>

SIP 점검이 가능으로 되어 있고 다음의 소프트웨어가 장비에서 사용 될 시 취약점 발생 (SIP 점검 기능은 ASA,FTD 소프트웨어 디폴트로 가능함)

S/W:Cisco Adaptive Security Appliance (ASA) Software 9.4 ~ 이후 버전, Cisco Firepower Threat Defense (FTD)6.0 ~ 이 후 버전 

H/W: 

3000 Series Industrial Security Appliance (ISA)

ASA 5500-X Series Next-Generation Firewalls

ASA Services Module for Cisco Catalyst 6500 Series Switches and Cisco 7600 Series Routers

Adaptive Security Virtual Appliance (ASAv)

Firepower 2100 Series Security Appliance

Firepower 4100 Series Security Appliance

Firepower 9300 ASA Security Module

FTD Virtual (FTDv)

<관련 CVE코드>

CVE-2018-15454

CVSS Score: Base 8.6

<대응방안>

https://tools.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-20181031-asaftd-sip-dos

1) 공격 호스트 막기

2) SIP 점검을 불가능으로 변경

3) Sent-by Adress 0.0.0.0 를 필터링하기

패치: 취약점에 대한 소프트웨어 업데이트는 현재(2018.11.01) 없음

<피해여부 확인>

show processes cpu-usage non-zero sorted  명령어를 이용 CPU를 과다하게 사용하고 있는 불완전 SIP 커넥션을 확인

혹은 공격으로 인한 크래싱으로 장비를 재부팅할 시 show crashinfo 를 사용하여 모르는 DATAPATH 가 있는지 확인을 하여 피해여부를 확인

출처 : https://tools.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-20181031-asaftd-sip-dos