Cisco опубликовала отчет о найденой уязвимости в реализации ipv6 Neighbor Discovery protocol (ND). Злоумышленник с помощью спецально сформированного пакета может остановить передачу всего ipv6 трафика на атакуемом устройстве.
Отчет.
Уязвимости подвержены все продукты с IOS, NX-OS, IOS-XE, IOS-XR. На текущий момент нет никаких патчей или workarounds. Единственной защитой является полное фильтрование пакетов ND на потенциально уязвимых интерфейсах либо с помощью ACL либо внешним фаерволлом.
Весело!
Отчет.
Уязвимости подвержены все продукты с IOS, NX-OS, IOS-XE, IOS-XR. На текущий момент нет никаких патчей или workarounds. Единственной защитой является полное фильтрование пакетов ND на потенциально уязвимых интерфейсах либо с помощью ACL либо внешним фаерволлом.
Весело!
Поделиться с друзьями
Комментарии (11)
satandyh
02.06.2016 22:10+1This vulnerability is not Cisco specific: any IPv6 processing unit not capable of dropping such packets early in the processing path or in hardware is affected by this vulnerability.
Хмм… сия запись говорит, что можно использовать эту уязвимость не только на Cisco? Двойное хммм… тогда может это все же уязвимость протокола?Karroplan
02.06.2016 22:11такие опасения существуют, но пока ни Juniper ни кто-то еще из производителей не выпустили своих комментариев, так что не будем делать преждевременной сенсации )чс
rughost
А где сейчас ipv6 используется? Не холивара ради, правда интересно
Karroplan
да много где ) в странах юго-восточной Азии активно используется ipv6 в качестве обычного протокола для подключения клиентов к isp
ValdikSS
Если технически отвечать на вопрос, то везде. Посмотрите на сетевой интерфейс вашего компьютера, наверняка у него есть Link-Local адрес.
Cisco уязвима в пределах L2, как я понимаю?
RicoX
Да это L2 протокол, причем у NDP не задалось с безопасностью на многих маршрутизаторах (подробней тут с 77 стр.), во многих случаях помогал включенный RA Guard. По текущей уязвимости очень мало информации, но насколько я понял уязвимость связана с большим количеством ресурсов маршрутизатора, которые тратятся на обработку пакетов от «новых» соседей и атака имеет вид DoS флуда, когда атакующий узел посылает большое количество специально сгенерированных пакетов на установку соседства с атакуемым маршрутизатором, чем быстро исчерпывает ресурсы. Вообще выпускать менеджмент протоколы за рамки управляющего защищенного вилана плохой тон.
wmns
На самом деле L3. RFC 4861
inkvizitor68sl
http://www.worldipv6launch.org/participants/?q=1
В гугл 10% трафика приходит по ipv6.
Из крупных российских — яндекс, мейлру, вк.