2018年3月28日，思科發(fā)布了高危漏洞預警稱思科IOS、IOS XE和IOS XR軟件中存在多個漏洞。其中包含2個遠程代碼執(zhí)行漏洞CVE-2018-0171、CVE-2018-0151。攻擊者可利用漏洞進行未授權訪問、提權、執(zhí)行任意代碼或導致拒絕服務。
漏洞描述
Cisco Smart Install遠程代碼執(zhí)行漏洞（CVE-2018-0171）危害等級：超危
Cisco IOS、IOS XE軟件Smart Install客戶端中存在緩沖區(qū)堆棧溢出漏洞（CVE-2018-0171），該漏洞是由于對分組數據驗證不當造成的。未經身份驗證的遠程攻擊者，可以通過構造惡意Small Install消息包，向受影響設備的TCP 4786端口發(fā)送該數據包，重載目標設備，造成設備拒絕服務（DoS）或允許遠程代碼執(zhí)行。
由于4786端口默認開啟，且該漏洞poc已經被公開，漏洞危害程度極高。
該漏洞存在于運行了Cisco IOS/IOS EX受影響版本軟件，且為Smart Install Client模式的設備。未開啟Cisco Smart Install，或被設置為Smart Install Director模式的設備不在影響之列。
Cisco QoS遠程代碼執(zhí)行漏洞（CVE-2018-0151） 危害等級：超危
該漏洞是由于受影響設備對到達其UDP 18999端口的數據包中某些值的邊界檢查不當造成的。攻擊者可通過向受影響設備發(fā)送惡意構造的數據包來利用漏洞，受影響設備在處理數據包時可能發(fā)生緩沖區(qū)溢出，導致設備重載。該漏洞影響所有運行了Cisco IOS/IOS EX受影響版本軟件的設備。
目前國際上大概有二十萬受影響設備暴露在公網上：
上周，一個名為“JHT”的黑客組織利用思科CVE-2018-0171 智能安裝漏洞攻擊了包括俄羅斯和伊朗在內的多個國家網絡基礎設施。被攻擊的Cisco路由器的配置文件startup.config會被覆蓋，路由器將重新啟動。除了導致大面積網絡中斷以外，管理員還會發(fā)現路由器配置文件被更改成：“Don't mess with our elections.... -JHT usafreedom_jht@tutanota.com”。
今天，我們陸續(xù)收到多個國內機構遭受同樣的攻擊的消息。被攻擊的設備除癱瘓外，配置文件還會顯示一個美國國旗。
解決方案
1.Cisco官方已經發(fā)布了更新補丁，，建議相關用戶盡快更新升級。（https://tools.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-20180328-smi2）
2.啟明星辰已于4月4日升級事件庫，事件名稱：TCP_Cisco_SmartInstall_遠程代碼執(zhí)行漏洞(CVE-2018-0171)，請廣大用戶及時升級。