CGE como muchos le nombramos es un script escrito en perl
diseñado para encontrar o identificar si un Reuter o dispositivo cisco es
vulnerable a una lista de ataques que cge contiene solo identificando
vulnerabilidades que algunos dispositivos tienen en su IOS (internet operating system)
esto claramente nos dice que si no es un cisco vulnerable no será afectado,
Cisco global exploiter es muy fácil de usar y nos puede brindar información
interesante sobre nustra victima
Cisco global exploiter
Usar
Perl cge.pl < numero vulnerabilidad>
Lista de Vulnerabilidad
[1] – cisco 677/678 telnet
vulnerabilidad de desbordamiento de búfer
[2]- Cisco IOS del
router vulnerabilidad de denegación de servicio (DoS)
[3]- Cisco IOS HTTP vulnerabilidad de autenticación
[4]- Cisco IOS HTTP
vulnerabilidad acceso administrativo
arbitrario de configuración
[5]- Cisco Catalyst SSH protocolo
no coincide vulnerabilidad de denegación
de servicio
[6]- cisco 675 administración web
vulnerabilidad de denegación de servicio
[7]- Cisco Catalyst 3500 XL
vulnerabilidad comando arbitrario
a distancia
[8]- Cisco IOS software
HTTP solicitud vulnerabilidad
de denegación de servicio
[9]- cisco 514 UDP flood
denegación de servicio
[10]- Cisco Secure ACS para
Windows NT vulnerabilidad de
denegación de servicio
[11]- Cisco Catalyst vulnerabilidad fuga de memoria
[12]- cisco CatOS vista
HTTP servidor vulnerable a
desbordamiento de buffer
[13]- 0 codificación vulnerabilidad Bypass IDS (UTF)
[14]-
Cisco IOS HTTP vulnerabilidad de denegación de servicio
[1] –
cisco 677/678 telnet
vulnerabilidad de desbordamiento de búfe
Esta
vulnerabilidad se identifica en el sistema operativo Cisco de Banda Ancha (OBC),
un sistema operativo para los 600
familiares de routers Cisco.
Cada vulnerabilidad puede causar una denegación de servicio mediante la
congelación del administrador
equipo en las instalaciones (CPE).
La vulnerabilidad puede ser explotada
remotamente.
Todos los dispositivos DSL CPE Cisco de la familia 600
con software CBOS
y que incluye la liberación 2.4.4 son vulnerables.
La lista completa de modelos de hardware
vulnerables es:
626, 627, 633,
673, 675, 675E,
676, 677, 678
y 677i.
Mediante el envío de un gran paquete al puerto Telnet es posible congelar el
CPE.
No es necesario estar
conectado o para autenticar
en forma alguna.
Telnet está activado por defecto.
Mediante la explotación de estas
vulnerabilidades en varias ocasiones que un atacante puede causar una denegación de servicio por un período de tiempo indeterminado.
[2]-
Cisco IOS del
router vulnerabilidad de denegación de servicio (DoS)
Un
defecto en varias versiones del software Cisco IOS causará
que un router cisco se dentenga o este recargando el servicio HTTP
IOS está habilitada y navegación a "http://
/%%".
Este defecto puede ser aprovechado para
producir un ataque de Denegación de
Servicio.
La vulnerabilidad afecta a casi todos los
principales routers y switches Cisco
que ejecuta el software Cisco IOS 11.1 libera a través de 12,1, ambos inclusive.
La vulnerabilidad puede ser mitigado
mediante la desactivación del servidor HTTP IOS, utilizando
una lista de acceso en una
interfaz en la ruta de acceso al router para evitar autorizado
conexiones de red en el servidor HTTP, o la aplicación de una opción de acceso de clase directamente al servidor HTTP en sí.
El servidor HTTP IOS
está activado por defecto sólo en
Cisco 1003, 1004,
y 1005
y en routers mal configurados. En todos
los demás casos, el servidor HTTP
IOS debe habilitarse explícitamente
para para explotar este defecto.
Dispositivos de Cisco que se estén
ejecutando versiones afectadas
son:
Routers de Cisco en
los AGS / MGS / CGS / AGS +, IGS,
RSM, 800, ubr900, 1000, 2500, 2600,
3000, 3600, 3800, 4000, 4500, 4700, AS5200, AS5300,
AS5800, 6400, 7000, 7200,
uBR7200, 7500, serie 12000, conmutador ATM LS1010,
Catalyst 6000, 2900XL, 3500XL
Switches LAN y
Cisco DistributedDirector.
Cualquier dispositivo afectado Cisco IOS que está
funcionando con el servidor HTTP
habilitado
y no está protegido contra conexiones no autorizadas pueden ser obligados a no tener servicio
por un período de hasta dos hasta que
vuelva a cargar.
La vulnerabilidad puede ser ejercida
en varias ocasiones, la posible creación
de un ataque de denegación de
servicio, durante el ataque el servidor HTTP está desactivado, el router
está protegido contra el ataque una vez atacado el software se actualiza a una
versión que no es afectada
[3]-
Cisco IOS HTTP vulnerabilidad de autenticación
Cuando el servidor HTTP está activado y se
utiliza autorización local, es
posible,
en algunas circunstancias, para evitar
la autenticación y
ejecutar cualquier comando
en el dispositivo. En ese caso, el usuario será
capaz de ejercer un control total
sobre el dispositivo.
Todos los comandos se ejecutan con el privilegio más alto (nivel 15).
Todas las versiones del software Cisco IOS, comenzando con
la liberación de 11.3 y
posterior, son
vulnerable. Prácticamente todos los
principales routers y switches Cisco que ejecutan el software
Cisco IOS se ven
afectados por esta vulnerabilidad.
Los productos que no ejecutan software Cisco IOS
no son vulnerables.
Cualquier dispositivo que ejecuta
el software Cisco IOS versión 11.3 y
posteriores es vulnerable.
Dispositivos de Cisco que se estén
ejecutando con afectados Cisco IOS versiones de software
incluir, pero no se limitan a:
Routers de Cisco en
los AGS / MGS / CGS / AGS +, IGS,
RSM, 800, ubr900, 1000, 1400,
1500,
1600, 1700, 2500, 2600, 3000, 3600, 3800, 4000, 4500, 4700, AS5200, AS5300,
AS5800, 6400, 7000, 7100, 7200, uBR7200,
7500, serie 12000, conmutador ATM LS1010,
Catalizador 6000, 5000, 2900XL, 3500XL, switch
LAN y Cisco Distributed director.
[4]- Cisco IOS HTTP
vulnerabilidad acceso administrativo
arbitrario de configuración
Shell no segura (SSH) los intentos de conexión a un servicio SSH habilitado
en Cisco
Catalizador 6000, 5000, o 4000 interruptor podría
causar un error de "protocolo de
desajuste",
lo que resulta en un fallo de motor supervisor.
El fallo del motor hace que el supervisor de cambio a no superan el
tráfico y
se reinicia el switch.
Sólo las siguientes imágenes se ven afectados:
CAT4000-k9.6-1-1.bin, cat5000-sup3cvk9.6-1-1a.bin, cat5000-sup3k9.6-1-1.bin,
cat5000-supgk9.6-1-1.bin, cat6000-sup2cvk9.6-1-1a.bin, cat6000-sup2k9.6-1-1a.bin,
cat6000-supcvk9.6-1-1a.bin, cat6000-supk9.6-1-1a.bin, cat6000-sup2cvk9.6-1-1b.bin,
cat6000-sup2k9.6-1-1b.bin, cat6000-supcvk9.6-1-1b.bin y cat6000-supk9.6-1-1b.bin.
SSH protocolo intentos
no conexión con el servicio SSH causan un "falta de coincidencia de protocolo" de error, lo que provoca un interruptor para volver a cargar.
SSH no está habilitado de forma predeterminada y debe estar
configurado por el administrador.
Esta vulnerabilidad permite a un ataque de denegación de servicio en el switch Catalyst.
[5]-
Cisco Catalyst SSH protocolo
no coincide vulnerabilidad de denegación
de servicio
Cualquier router de la
familia Cisco 600 que está configurado para permitir el acceso
Web puede
ser bloqueados mediante el envío de
una URL específica.
Acceso Web está
desactivado por defecto, y por lo general se activa con el fin de
facilitar la configuración remota.
Los modelos afectados son los siguientes:
627, 633, 673,
675, 675E, 677,
677i y 678.
Estos modelos son vulnerables si se encuentran cualesquiera de las siguientes, o antes,
CBOS versiones:
2.0.1, 2.1.0, 2.1.0a,
2.2.0, 2.2.1, 2.2.1a,
2.3, 2.3.2, 2.3.5,
2.3.7 y 2.3.8.
El comportamiento es causado por el
inadecuado análisis URL en CBOS.
Se esperaba que cada URL para terminar con un mínimo de un único carácter de espacio
(Código ASCII 32
decimal).
Envío de una URL que
no pongan fin a un
espacio provoca CBOS para entrar en un
bucle infinito.
Es necesario apagar y encender el router para reanudar el funcionamiento.
Para aprovechar esta vulnerabilidad, un router debe estar configurado para aceptar conexiones Web.
Tener una contraseña de acceso Web configurado no ofrece protección contra esta
vulnerabilidad.
Mediante el envío de una URL adaptada a un
router, es posible causar una
denegación de servicio.
Cada enrutador afectado
deberá ser reiniciado con el fin de que vuelva a la normalidad.
[6]- cisco 675 administración web
vulnerabilidad de denegación de servicio
La serie Catalyst 3500
XL de switches cambia configuración de la interfaz de usuario
web letsany
y ejecutar cualquier
comando en el sistema sin iniciar sesión
Los sistemas afectados son:
Cisco Catalyst 3500 XL switches series y
todos los interruptores que utiliza
similar
softwares.
Catalyst 3500 switches
de la serie XL de Cisco tienen
una interfaz de configuración del
servidor web.
Esta interfaz permite a cualquier
usuario de la web anónima ejecutar cualquier comando sin proporcionar
las credenciales de autenticación
por la simple solicitud del "/ exec" ubicación en la
webserver.
Un ejemplo es el siguiente:
http://target/exec/show/config/cr
Esta URL se
mostrará el archivo de configuración, con todas las contraseñas de usuario.
[7]- Cisco Catalyst 3500 XL
vulnerabilidad comando arbitrario
a distancia
Un defecto en varias versiones del software Cisco IOS
causará un router Cisco o
cambiar a detener y recargar si el servicio HTTP IOS está
habilitado, la navegación a
"Http://target/anytext?/" se intenta, y se
suministra la contraseña de activación
cuando se le solicite.
Este defecto puede ser aprovechado para producir un ataque
de Denegación de Servicio.
Dispositivos de Cisco que se estén
ejecutando con versiones de software IOS afectadas incluyen:
Routers de Cisco en los AGS / MGS /
CGS / AGS +, IGS, RSM, 800, ubr900, 1000, 1400, 1500,
1600,
1700, 2500, 2600, 3000, 3600, 3800, 4000, 4500, 4700, AS5200, AS5300, AS5800,
6400,
7000, 7200, uBR7200, 7500, serie 12000, conmutador ATM LS1010, Catalyst 6000,
2900XL, switch LAN 1900, 2800, 2900,
3000 y 5000 y Cisco director distribuida.
El servidor HTTP se introdujo en IOS versión 11.0 para
extender la gestión de router la web en todo el mundo. El "?" (Signo
de interrogación) carácter se define en las especificaciones de HTML, como delimitador
para argumentos CGI. También se interpreta por la interfaz de línea de comandos
IOS como una petición de ayuda. A partir de Cisco IOS Software Release 12.0T,
el significado de un signo de interrogación cuando se aparece adyacente a un
carácter "/" (barra diagonal) no puede ser determinada adecuadamente
por el Analizador URI en las versiones afectadas del software Cisco IOS.
Cuando un URI que contiene "? /" Se presenta en el
servicio HTTP en el router y una
se suministra contraseña de activación válido, el router
entra en un bucle infinito.
Un temporizador watchdog expira dos minutos más tarde y
obliga al router a reiniciarse.
El router continúa siendo vulnerable a este defecto, siempre
y cuando se conozca la versión de software y la contraseña de activación
Esta vulnerabilidad sólo se puede aprovechar si la
contraseña de activación no se ha establecido, o se sabe, o puede ser adivinada.
En casos raros, un dispositivo afectado deja de recargar, lo
que significa que un administrador debe reiniciarlo físicamente para restaurar
su funcionamiento.
El servidor HTTP no está activado por defecto, excepto los
modelos Cisco 1003,
1004 y 1005 routers.
Una vez otorgado el acceso inicial para configurar el
router, el administrador puede configurar una contraseña, y desactivar o
limitar el acceso al servidor HTTP mediante el cambio de la configuración. Una
vez que la nueva configuración se ha guardado, el servidor HTTP no se activará
cuando se reinicia el router.
Un dispositivo afectado Cisco IOS que está operando con el
servicio HTTP habilitado y no están
protegidos por tener la contraseña de activación configurado puede ser obligado
a detener hasta por dos minutos y luego vuelva a cargar.
La vulnerabilidad puede ser ejercido en varias ocasiones, la
posible creación de una denegación de servicio, a menos que el servicio está
desactivado, la contraseña de activación se establece, o el router actualizado
a una versión determinada.
En casos en los que un enrutador en una ubicación remota
falla para recargar, un administrador debe visitar el sitio para que el
dispositivo pueda recuperarse de este defecto.
[8]-
Cisco IOS software
HTTP solicitud vulnerabilidad
de denegación de servicio
Cisco Secure Access Control Server (ACS) para Windows contiene dos vulnerabilidades.
Una vulnerabilidad
puede llevar a la ejecución de un código
arbitrario en el servidor ACS,
y el segundo puede conducir a
una divulgación no
autorizada de información.
El producto afectado
es:
Cisco Secure
Access Control de servidor para Windows
2.6.x y ACS 3.0.1.
Mediante la conexión al puerto 2002 y el envío de una URL hecha a mano, es
posible, de una forma menos
caso grave, matar
al módulo CSADMIN o, en un caso sever, para ejecutar una arbitraria
Código suministrado
por el usuario.
La funcionalidad de autenticación, autorización
y contabilidad (AAA) no es
afectados por
la terminación del módulo CSADMIN. Esto significa que
los usuarios podrán
autenticar normalmente. Sólo se verá afectada la
función de administración. Puerto 2002 se utiliza por el CSADMIN módulo para la administración remota.
Al proporcionar una dirección URL que
contiene los símbolos de
formato (por ejemplo,% s,% p), es posible para ejecutar un código proporcionado por el usuario.
Mediante la explotación de la vulnerabilidad de
formato, un atacante podría ejecutar código arbitrario en la máquina. Este código se ejecuta en el mismo contexto que el proceso CSADMIN, y administrador. Ejecución de código arbitrario dará lugar a
un compromiso total de la
máquina.
Al explotar el recorrido de directorio vulnerabilidad, un atacante puede obtener autorización
acceder a la
información en los siguientes tipos de archivo: html, htm, clase, jpg, png o gif.
El principal problema puede ser los
archivos html con
contraseñas codificadas u otra información sensible.
[9]- cisco 514 UDP flood
denegación de servicio
Una serie de intentos de autenticación fallidos telnet al switch puede hacer que el catalizador
Cambie a dejar de pasar el tráfico o aceptar conexiones de administración hasta que el sistema es
reinicia o se realiza un ciclo de potencia.
Todos los tipos de autenticación telnet se ven afectados, incluyendo Kerberos telnet, y
Autenticación AAA.
Los sistemas afectados son:
Catalyst 4000 y 5000 imágenes que ejecutan la versión 4.5 (2) hasta 5.5 (4) y 5.5 (4a) y
Catalyst 6000 imágenes que ejecuta la versión 5.3 (1) CSX, hasta e incluyendo la 5.5 (4) y 5.5 (4a).
El Catalyst de la serie 4000 está instalado en el Catalyst 2948G, 2980G, 4003, 4006, y
Switches 4912G.La serie Catalyst 6000 está instalado en el Catalyst 6009, 6006, 6509, 6509-NEB, y
6506 switches de chasis modulares.
El proceso de telnet no puede liberar los recursos en un fallo de autenticación, o una
conexión exitosa de duración extremadamente corta, como un telnet desde un sistema automatizado script.
Esta pérdida de memoria con el tiempo se traduce en el hecho de que el interruptor cumple con cualquier otro proceso, tales como el tráfico de reenvío o de gestión; una desconexión o reinicio se requiere para la recuperación.
El comando "memoria del proceso espectáculo" indica el aumento de memoria "Holding" después del fracaso los intentos de autenticación Telnet. Este valor no disminuirá con el tiempo, excepto cuando un reinicio. Este error puede ser activado durante un período de tiempo en el Durante el funcionamiento normal de los usuarios legítimos que a veces fallan en autenticación.
Esta vulnerabilidad permite a un ataque de denegación de servicio en el switch Catalyst.
[10]-
Cisco Secure ACS para
Windows NT vulnerabilidad de
denegación de servicio
Algunas versiones de Cisco CatOS con un servidor HTTP integrado.
switches que ejecutan estas versiones de CatOS son propensos a una denegación de servicio, que se debe a una condición de desbordamiento de búfer remoto en el servidor HTTP.
Este problema se informó a afectar a versiones CatOS 5.4 hasta 7.4, que contiene "cv" en el
nombre de la imagen.
Los sistemas afectados son:
Cisco CatOS 5.4, 5.5 (13a), 5.5, 6.1 (2), 6.1, 7.3 y 7.4.
Esta vulnerabilidad puede ser explotada mediante la realización de un pedido especial "GET", con un gran argumento, un código shell también podría ser utilizado para obtener una shell en el sistema remoto o ejecutar comandos arbitrarios.
Sistemas de Detección de Intrusos inspeccionan el tráfico de red para formatos de paquetes sospechosos o malintencionados, cargas útiles de datos y patrones de tráfico.
Sistemas de detección de intrusos suelen implementar defensa ofuscación - garantizar que los paquetes sospechosos no pueden ser fácilmente disimuladas con UTF y / o codificación hexadecimal y eludir los sistemas de detección de intrusiones.
Los siguientes productos se ven afectados:
Cisco Secure Intrusion Detection System, anteriormente conocido como NetRanger, componente del sensor y Cisco Catalyst 6000 Sistema de Detección de Intrusión módulo.
El método de codificación de u% es un método de codificación diferente que se entiende y se analiza por el servidor web IIS.
Esta codificación se puede aplicar a otras porciones de la url para ocultar efectivamente el ataque, la prevención de la detección por muchos sistemas de detección de intrusos disponibles. Cisco Secure algoritmos de detección de intrusiones sistema de sensores de decodificación se han modificado para detectar y analizar este tipo unicode.
Este método de ofuscación puede permitir la explotación maliciosa
[12]-
cisco CatOS vista
HTTP servidor vulnerable a
desbordamiento de buffer
El centro de servicio HTTP en el Cisco IOS proporciona capacidades de administración remota utilizando
cualquier navegador web como cliente.
Es comúnmente usado para administrar routers remotos y switches con un simple y fácil de usar
Interfaz Web. Una falla en el servidor HTTP permite a un atacante con acceso al servicio HTTP
puerto se bloquee el dispositivo y forzar una re-carga de software. El servicio está habilitado de forma predeterminada sólo en Cisco 1003, 1004 y 1005 routers.
Prácticamente todos los routers y switches Cisco que ejecutan versiones de IOS 12.0 por 12.1 son vulnerables.
La siguiente es la lista de los productos que se ven afectados si se está ejecutando una versión de Cisco Software IOS que tiene el defecto:
Routers de Cisco en los AGS / MGS / CGS / AGS +, IGS, RSM, 800, ubr900, 1000, 2500, 2600, 3000, 3600,3800, 4000, 4500, 4700, AS5200, AS5300, AS5800, 6400, 7000, 7200, uBR7200, 7500, y 12000 serie.
Mediante el envío de una solicitud HTTP con la siguiente URI:
http://target/anytext?/
El switch se bloquea y realiza una re-carga de software, conectividad de red se interrumpe mientras esto se realiza.
El envío de estos peticiones HTTP repetitiva puede realizar un ataque de denegación de servicio contra el switche y toda la red conectada al mismo.
Sistemas de Detección de Intrusos inspeccionar el tráfico de red para formatos de paquetes sospechosos o malintencionados, cargas útiles de datos y patrones de tráfico. Sistemas de detección de intrusos suelen implementar defensa ofuscación - garantizar que los paquetes sospechosos no pueden ser fácilmente disimuladas con UTF y / o codificación hexadecimal y eludir los sistemas de detección de intrusiones. Recientemente, el gusano CodeRed se ha centrado en una vulnerabilidad no parcheada con muchos sistemas IIS de Microsoft y también destacó una técnica de codificación diferente con el apoyo de los sistemas IIS de Microsoft. Esta técnica de codificación conocido como% u se puede utilizar para eludir los sistemas de detección de intrusos,
Cisco ha corregido esta vulnerabilidad en el Secure Cisco Intrusion Detection System, anteriormente conocido como NetRanger, con un paquete de servicio que ya está disponible para los clientes. Esta vulnerabilidad también afecta el Catalyst 6000 Sistema de Detección de Intrusión Módulo Cisco, y se repara en la versión 3.0 (4) S20, lanzado en mayo de 2002. Cisco ha proporcionado una solución para este problema,
[14]-
Cisco IOS HTTP vulnerabilidad de denegación de servicio
Un defecto en varias versiones del software Cisco IOS causará un router o switch para detener y volver a cargar si el servicio HTTP está habilitada Cisco IOS, navegar a "http://router-ip/anytext?/" se intenta, y la clave de activación se suministra cuando se le solicite. Este defecto puede ser aprovechado para producir un ataque de denegación de servicio (DoS).
La vulnerabilidad, identificada como Cisco bug ID CSCdr91706, afecta prácticamente a todos los principales routers y switches Cisco que ejecutan el software Cisco IOS libera 12,0 por 12,1, ambos inclusive. Este no es el mismo defecto que CSCdr36952.
La vulnerabilidad ha sido corregida y Cisco está haciendo versiones fijas disponibles de forma gratuita para reemplazar todas las versiones de IOS afectadas. Se insta a los usuarios que actualicen a versiones que no son vulnerables a este defecto como se indica en detalle a continuación.
Esta vulnerabilidad sólo se puede aprovechar si la contraseña de por defeto no a sido cambiada o se conoce la contraseña.
