La vulnerabilidad permite a un atacante remoto ejecutar código arbitrario, tomar el control total de los equipos de la red vulnerable e interceptar tráfico.
La vulnerabilidad de desbordamiento de búfer (CVE-2018-0171) reside debido a una validación incorrecta de los datos del paquete Small Install Client, el cuál es una función plug-and-play que ayuda a los administradores a implementar dispositivos de red fácilmente.
La empresa Embedi, descubridora de este fallo, ha publicado los detalles técnicos y el código de la prueba de concepto (PoC) después de que Cisco lanzara las actualizaciones pertinentes para abordar el fallo.
Como funciona la vulnerabilidad:
Un atacante debe enviar un mensaje de instalación del software antes mencionado (Small Install Client) a un dispositivo afectado en el puerto 4784, que está abierto de manera predeterminada.
Cisco comentó en un comunicado:
“Para ser más precisos, el desbordamiento de búfer se encuentra en la función ‘smi_ibc_handle_ibd_init_discovery_msg'” y “porque el tamaño de los datos copiados directamente a un búfer de tamaño fijo no son comprobados. El tamaño y los datos se toman directamente del paquete de red el cuál es controlado por el atacante.”
Demostraciones en vídeo:
En la primera demostración, los investigadores atacaron a un switch Cisco Catalyst 2960 para cambiar la contraseña y entrar en el modo EXEC privilegiado.
En la segunda, explotan el fallo para interceptar el tráfico entre otros dispositivos conectados al switch vulnerable e internet.
Dispositivos vulnerables:
- Catalyst 4500 Supervisor Engines
- Catalyst 3850 Series
- Catalyst 3750 Series
- Catalyst 3650 Series
- Catalyst 3560 Series
- Catalyst 2960 Series
- Catalyst 2975 Series
- IE 2000
- IE 3000
- IE 3010
- IE 4000
- IE 4010
- IE 5000
- SM-ES2 SKUs
- SN-ES3 SKUs
- NME-16ES-1G-P
- SM-X-ES3 SkUs
Cisco publicó el parche para corregir este fallo el 28 de Marzo, por lo que se recomienda a todo el mundo que actualice sus dispositivos lo antes posible.
