发布日期:2003-12-22

Cisco FWSM多个安全漏洞

受影响系统：
Cisco Catalyst 6500 7.6 (1)
Cisco Catalyst 6500 7.5 (1)
Cisco Catalyst 6500 5.4.1
Cisco Catalyst 6500 3.1 (1a)WS-X6380-NAM
Cisco Catalyst 6500 3.1 (1a)WS-SVC-NAM-2
Cisco Catalyst 6500 3.1 (1a)WS-SVC-NAM-1
Cisco Catalyst 6500 2.2 (1a)WS-SVC-NAM-2
Cisco Catalyst 6500 2.2 (1a)WS-SVC-NAM-1
Cisco Catalyst 6500 2.1 (2)WS-X6380-NAM
Cisco Catalyst 7600 3.1 (1a)WS-X6380-NAM
Cisco Catalyst 7600 3.1 (1a)WS-SVC-NAM-2
Cisco Catalyst 7600 3.1 (1a)WS-SVC-NAM-1
Cisco Catalyst 7600 2.2 (1a)WS-SVC-NAM-2
Cisco Catalyst 7600 2.2 (1a)WS-SVC-NAM-1
Cisco Catalyst 7600 2.1 (2)WS-X6380-NAM
Cisco Firewall Services Module 1.1.2
不受影响系统：
Cisco Firewall Services Module 1.1.3
描述：
--------------------------------------------------------------------------------
BUGTRAQ ID: 9222

CISCO FWSM是CISCO设备上的防火墙服务模块。

CISCO FWSM存在2个漏洞，允许远程攻击者进行拒绝服务攻击或在设备上执行任意指令。

CSCeb16356 (HTTP Auth)漏洞：

传递使用TACACS+或RADIUS验证的HTTP Auth请求，可使Cisco FWSM由于发送缓冲区溢出崩溃并重载。这个请求可以由用户通过发起FTP，TELNET或者HTTP连接而初始化。如果用户名和密码被指定的ACACS+或RADIUS服务器验证通过，Cisco FWSM才允许通信通过。

CSCeb88419 (SNMPv3)漏洞

当Cisco FWSM模块上配置snmp-server host <if_name> <ip_addr>或snmp-server host <if_name> <ip_addr> poll时，处理接收到的SNMPv3消息时可使CISCO FWSM崩溃，产生拒绝服务。

只要当Cisco FWSM模块上配置snmp-server host <if_name> <ip_addr> trap命令时才不受此漏洞影响。

<*来源：Cisco Security Advisory

链接：http://www.cisco.com/warp/public/707/cisco-sa-20031215-fwsm.shtml
*>

建议：
--------------------------------------------------------------------------------
临时解决方法：

如果您不能立刻安装补丁或者升级，NSFOCUS建议您采取以下措施以降低威胁：

* 限制只有可信主机才能轮询FWSM上的SNMP服务：

snmp-server host <if_name> <ip_addr> poll

也可按照如下方法关闭SNMP服务：

no snmp-server location

no snmp-server contact

snmp-server community public

no snmp-server enable traps

厂商补丁：

Cisco
-----
FWSM 1.1.3已经修正这两个漏洞，建议用户通过Cisco software Center获得升级程序：

http://www.cisco.com/

要访问此下载URL，你必须是注册用户和必须登录后才能使用。

事先或目前与第三方支持组织，如Cisco合作伙伴、授权零售商或服务商之间已有协议，由第三方组织提供Cisco产品或技术支持的用户可免费获得升级支持。

直接从Cisco购买产品但没有Cisco服务合同的用户和由第三方厂商购买产品但无法从销售方获得已修复软件的用户可从Cisco技术支持中心(TAC)获取升级软件。TAC联系方法：

* +1 800 553 2447 (北美地区免话费)
* +1 408 526 7209 (全球收费)
* e-mail: tac@cisco.com