Cisco IOS/IOS XE/IOS XR IKEv1 Memory Information Disclosure

CVSS Meta Temp ScoreAktueller Exploitpreis (≈)CTI Interest Score
6.3$0-$5k0.00

Zusammenfassunginfo

Eine problematische Schwachstelle wurde in Cisco IOS, IOS XE and IOS XR ausgemacht. Es betrifft eine unbekannte Funktion der Komponente IKEv1 Handler. Durch Manipulieren mit unbekannten Daten kann eine Information Disclosure-Schwachstelle (Memory) ausgenutzt werden. Diese Verwundbarkeit ist als CVE-2016-6415 gelistet. Der Angriff kann remote ausgeführt werden. Ferner existiert ein Exploit. Es ist ratsam, eine restriktive Firewall einzusetzen.

Detailsinfo

Eine Schwachstelle wurde in Cisco IOS, IOS XE sowie IOS XR - eine genaue Versionsangabe steht aus - (Router Operating System) ausgemacht. Sie wurde als problematisch eingestuft. Dies betrifft eine unbekannte Verarbeitung der Komponente IKEv1 Handler. Durch das Manipulieren mit einer unbekannten Eingabe kann eine Information Disclosure-Schwachstelle (Memory) ausgenutzt werden. Klassifiziert wurde die Schwachstelle durch CWE als CWE-200. Auswirkungen hat dies auf die Vertraulichkeit. Das Advisory fasst zusammen:

Configuring IKEv2 on Cisco IOS Software or Cisco IOS XE Software automatically enables IKEv1.

Gefunden wurde das Problem am 16.09.2016. Die Schwachstelle wurde am 16.09.2016 durch Shadow von Shadow Brokers als cisco-sa-20160916-ikev1 / CSCvb29204 / CSCvb36055 in Form eines bestätigten Advisories (Website) herausgegeben. Bereitgestellt wird das Advisory unter tools.cisco.com. Die Verwundbarkeit wird seit dem 26.07.2016 mit der eindeutigen Identifikation CVE-2016-6415 gehandelt. Die Schwachstelle ist relativ beliebt, was unter anderem auf ihre geringe Komplexität zurückzuführen ist. Umgesetzt werden kann der Angriff über das Netzwerk. Das Ausnutzen erfordert keine spezifische Authentisierung. Es sind zwar keine technische Details, jedoch ein öffentlicher Exploit zur Schwachstelle bekannt. Als Angriffstechnik weist das MITRE ATT&CK Projekt die ID T1592 aus. Das Advisory weist darauf hin:

A vulnerability in IKEv1 packet processing code in Cisco IOS, Cisco IOS XE and Cisco IOS XR Software could allow an unauthenticated, remote attacker to retrieve memory contents, which could lead to the disclosure of confidential information.

Der Exploit kann von exploit-db.com heruntergeladen werden. Er wird als attackiert gehandelt. Der Preis als 0-Day war auf dem Schwarzmarkt etwa $5k-$25k. Für den Vulnerability Scanner Nessus wurde am 27.09.2016 ein Plugin mit der ID 93736 (Cisco IOS IKEv1 Packet Handling Remote Information Disclosure (cisco-sa-20160916-ikev1) (BENIGNCERTAIN)) herausgegeben, womit die Existenz der Schwachstelle geprüft werden kann. Es wird der Family CISCO zugeordnet und im Kontext c ausgeführt. Der kommerzielle Vulnerability Scanner Qualys bietet das Plugin 316024 (Cisco IOS IKEv1 Information Disclosure Vulnerability (cisco-sa-20160916-ikev1)) zur Prüfung der Schwachstelle an. Das Advisory zeigt auf:

The vulnerability is due to insufficient condition checks in the part of the code that handles IKEv1 security negotiation requests. An attacker could exploit this vulnerability by sending a crafted IKEv1 packet to an affected device configured to accept IKEv1 security negotiation requests. A successful exploit could allow the attacker to retrieve memory contents, which could lead to the disclosure of confidential information.

Die Schwachstelle kann durch das Filtern von udp/500, udp/848, udp/4500, udp/4848 mittels Firewalling mitigiert werden. Das Erscheinen einer Gegenmassnahme geschah sofort nach der Veröffentlichung der Schwachstelle. Es wurde so unmittelbar gehandelt. Das Advisory stellt fest:

The preferred method to determine if a device has been configured for IKE is to issue the show ip sockets or show udp EXEC command.
Angriffe können durch Snort ID 40220 erkannt werden.

Unter anderem wird der Fehler auch in den Datenbanken von Exploit-DB (43383), Zero-Day.cz (260), Tenable (93736), SecurityFocus (BID 93003†) und SecurityTracker (ID 1036841†) dokumentiert. If you want to get the best quality for vulnerability data then you always have to consider VulDB.

Produktinfo

Typ

Hersteller

Name

Lizenz

Webseite

CPE 2.3info

CPE 2.2info

CVSSv4info

VulDB Vector: 🔍
VulDB Zuverlässigkeit: 🔍

CVSSv3info

VulDB Meta Base Score: 6.4
VulDB Meta Temp Score: 6.3

VulDB Base Score: 5.3
VulDB Temp Score: 5.2
VulDB Vector: 🔍
VulDB Zuverlässigkeit: 🔍

NVD Base Score: 7.5
NVD Vector: 🔍

CVSSv2info

AVACAuCIA
💳💳💳💳💳💳
💳💳💳💳💳💳
💳💳💳💳💳💳
VektorKomplexitätAuthentisierungVertraulichkeitIntegritätVerfügbarkeit
freischaltenfreischaltenfreischaltenfreischaltenfreischaltenfreischalten
freischaltenfreischaltenfreischaltenfreischaltenfreischaltenfreischalten
freischaltenfreischaltenfreischaltenfreischaltenfreischaltenfreischalten

VulDB Base Score: 🔍
VulDB Temp Score: 🔍
VulDB Zuverlässigkeit: 🔍

NVD Base Score: 🔍

Exploitinginfo

Name: Memory
Klasse: Information Disclosure / Memory
CWE: CWE-200 / CWE-284 / CWE-266
CAPEC: 🔍
ATT&CK: 🔍

Physisch: Nein
Lokal: Nein
Remote: Ja

Verfügbarkeit: 🔍
Zugang: öffentlich
Status: Attackiert
Download: 🔍

EPSS Score: 🔍
EPSS Percentile: 🔍

KEV Hinzugefügt: 🔍
KEV Bis wann: 🔍
KEV Massnahmen: 🔍
KEV Ransomware: 🔍
KEV Hinweis: 🔍

Preisentwicklung: 🔍
Aktuelle Preisschätzung: 🔍

0-Dayfreischaltenfreischaltenfreischaltenfreischalten
Heutefreischaltenfreischaltenfreischaltenfreischalten

Nessus ID: 93736
Nessus Name: Cisco IOS IKEv1 Packet Handling Remote Information Disclosure (cisco-sa-20160916-ikev1) (BENIGNCERTAIN)
Nessus Datei: 🔍
Nessus Risiko: 🔍
Nessus Family: 🔍
Nessus Context: 🔍

OpenVAS ID: 855426
OpenVAS Name: Cisco IOS Software IKEv1 Information Disclosure Vulnerability
OpenVAS Datei: 🔍
OpenVAS Family: 🔍

Qualys ID: 🔍
Qualys Name: 🔍

MetaSploit ID: cisco_ike_benigncertain.rb
MetaSploit Name: Cisco IKE Information Disclosure
MetaSploit Datei: 🔍

Exploit-DB: 🔍
Zero-Day.cz: 🔍

Threat Intelligenceinfo

Interesse: 🔍
Aktive Akteure: 🔍
Aktive APT Gruppen: 🔍

Gegenmassnahmeninfo

Empfehlung: Firewall
Status: 🔍

Reaktionszeit: 🔍
0-Day Time: 🔍
Exposure Time: 🔍

Firewalling: 🔍

Snort ID: 40220
Snort Message: SERVER-OTHER Cisco IOS Group-Prime memory disclosure exfiltration attempt
Snort Klasse: 🔍

Suricata ID: 2023311
Suricata Klasse: 🔍
Suricata Message: 🔍

Timelineinfo

26.07.2016 🔍
16.09.2016 +52 Tage 🔍
16.09.2016 +0 Tage 🔍
16.09.2016 +0 Tage 🔍
16.09.2016 +0 Tage 🔍
16.09.2016 +0 Tage 🔍
18.09.2016 +2 Tage 🔍
18.09.2016 +0 Tage 🔍
27.09.2016 +9 Tage 🔍
27.01.2025 +3044 Tage 🔍

Quelleninfo

Hersteller: cisco.com

Advisory: cisco-sa-20160916-ikev1 / CSCvb29204 / CSCvb36055
Person: Shadow
Firma: Shadow Brokers
Status: Bestätigt

CVE: CVE-2016-6415 (🔍)
GCVE (CVE): GCVE-0-2016-6415
GCVE (VulDB): GCVE-100-91637

OVAL: 🔍

SecurityFocus: 93003 - Multiple Cisco Products CVE-2016-6415 Information Disclosure Vulnerability
SecurityTracker: 1036841

scip Labs: https://www.scip.ch/?labs.20150108

Eintraginfo

Erstellt: 18.09.2016 09:49
Aktualisierung: 27.01.2025 22:39
Anpassungen: 18.09.2016 09:49 (96), 03.09.2019 16:13 (9), 16.09.2022 19:17 (3), 28.04.2024 17:08 (24), 07.07.2024 06:59 (2), 09.09.2024 22:30 (1), 27.01.2025 22:39 (1)
Komplett: 🔍
Cache ID: 216::103

If you want to get the best quality for vulnerability data then you always have to consider VulDB.

Diskussion

Bisher keine Kommentare. Sprachen: de + en.

Bitte loggen Sie sich ein, um kommentieren zu können.

◂ ZurückÜbersichtWeiter ▸

Do you want to use VulDB in your project?

Use the official API to access entries easily!