CVE-2020-3566 | Cisco IOS-XR缝隙公告

颁布功夫 2020-09-02

0x00 缝隙概述

CVE   ID

CVE-2020-3566

时    间

2020-09-02

类    型

DOS

等    级

高危

远程利用

是

影响领域

启用DVMRP职能的IOS-XR系列所有版本


Cisco公司于2020年8月29日官方颁布缝隙预警，，，，，，，Cisco IOS-XR系列中的距离矢量多播路由和谈（DVMRP）存在一个Bug，，，，，，，未经身份验证的远程攻击者利用此bug，，，，，，，导致设备内存耗尽并使其它过程崩溃，，，，，，，其缝隙编号为CVE-2020-3566。 。。。 。。。IOS-XR系列重要用于运营商和数据中心。 。。。 。。。

该缝隙是由于Internet组治理和谈（IGMP）数据包的队列治理不及所致。 。。。 。。。思科还未颁布此软件的安全更新，，，，，，，Cisco产品安全事务响应幼组（PSIRT）于2020年8月28日发此刻野表试牟利用此缝隙的攻击活动。 。。。 。。。

0x01 缝隙详情

图片1.png


若是缝隙导致内存耗尽，，，，，，，这可能会影响设备上的其它过程。 。。。 。。�？？？？Ｄ芄煌ü褂胮rocess restart igmp号令沉新启动IGMP过程，，，，，，，能够复原IGMP过程亏损的内存，，，，，，，如下所示：

          RP/0/0/CPU0:router# process restart igmp

若是IGMP过程瞬间崩溃，，，，，，，则无需手动沉新启动IGMP过程，，，，，，，由于系统已经执行了该操作。 。。。 。。。这种自动沉启将复原亏损的内存。 。。。 。。。

在思考缓解措施时，，，，，，，对于内存耗纵情况，，，，，，，速度限度和接见节造步骤是有效的。 。。。 。。。对于瞬间产生IGMP过程崩溃的情况，，，，，，，只有接见节造步骤有效。 。。。 。。。

当设备内存耗尽时，，，，，，，在系统日志中可能会看到以下新闻：

         RP/0/RSP1/CPU0:Aug 28 03:46:10.375 UTC: raw_ip[399]: %PKT_INFRA-PQMON-6-QUEUE_DROP : Taildrop on XIPC queue 1 owned by igmp (jid=1175)

            RP/0/RSP0/CPU0:Aug 28 03:46:10.380 UTC: raw_ip[399]: %PKT_INFRA-PQMON-6-QUEUE_DROP : Taildrop on XIPC queue 1 owned by igmp (jid=1175)

            RP/0/RSP0/CPU0:Aug 28 03:49:22.850 UTC: dumper[61]: %OS-DUMPER-7-DUMP_REQUEST : Dump request for process pkg/bin/igmp

            RP/0/RSP0/CPU0:Aug 28 03:49:22.851 UTC: dumper[61]: %OS-DUMPER-7-DUMP_ATTRIBUTE : Dump request with attribute 7 for process pkg/bin/igmp

            RP/0/RSP0/CPU0:Aug 28 03:49:22.851 UTC: dumper[61]: %OS-DUMPER-4-SIGSEGV : Thread 9 received SIGSEGV - Segmentation Fault

当设备的IGMP过程崩溃时，，，，，，，在系统日志中可能会看到以下新闻：

         RP/0/RSP0/CPU0:Aug 30 17:21:47.653 UTC: igmp[1169]: %HA-HA_WD_LIB-4-RLIMIT : wd_handle_sigxfsz: Reached 90% of RLIMIT_DATA

           RP/0/RSP0/CPU0:Aug 30 17:21:47.653 UTC: igmp[1169]: %ROUTING-IPV4_IGMP-4-OOM_STATE_THROTTLE : Received Critical memory depletion warning, stop creating new igmp state

           RP/0/RSP1/CPU0:Aug 30 17:23:50.442 UTC: sysmgr[94]: igmp(1) (jid 1169) (pid 121667828) (fail_count 2) abnormally terminated, restart scheduled

 

0x02 措置建议

目前官方未颁布安全更新。 。。。 。。。

一时措施：

1.运行show igmp interface号令判断设备上是否启用了多播路由。 。。。 。。。

如图所示：

 

图片2.png

 

若是输出为空，，，，，，，则该设备不受影响。 。。。 。。。


2.为了缓解内存耗尽的情况，，，，，，，建议执行速度限度。 。。。 。。。这必要知路当前的IGMP流量，，，，，，，并将其速度设置为低于当前的均匀速度。 。。。 。。。配置模式下输入lpts pifib hardware police flow igmp rate号令。 。。。 。。。

如下所示：

           RP/0/0/CPU0:router(config)# lpts pifib hardware police flow igmp rate

该号令不会删除缝隙利用的矢量。 。。。 。。。但是该号令将降低通讯质量并增长成功利用所需的功夫。 。。。 。。�？？？？Ｄ芄焕谜舛喂Ψ蚶粗葱懈丛僮�。 。。。 。。。


3.更新接见节造列表（ACL），，，，，，，以缓解内存耗纵情况和瞬间IGMP过程崩溃情况。 。。。 。。。如下：

               RP/0/0/CPU0:router(config)# ipv4 access-list deny igmp any any dvmrp

0x03 有关新闻

https://www.securezoo.com/2020/08/cisco-warns-of-ios-xr-zero-day-vulnerability-exploit-in-the-wild-cve-2020-3566/

https://www.zdnet.com/article/cisco-warns-of-actively-exploited-ios-xr-zero-day/

 

0x04 参考链接

https://tools.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-iosxr-dvmrp-memexh-dSmpdvfz

0x05 功夫线

2020-08-29 Cisco官方颁布预警

2020-09-02 VSRC颁布缝隙公告

 

 

图片3.png