{"$ref":"https://www.cert.ssi.gouv.fr/openapi.json","affected_systems":[],"affected_systems_content":"<P>Les syst\u00e8mes affect\u00e9s sont les routeurs CISCO poss\u00e9dant  <SPAN class=\"textit\">IOS Firewall Feature Set</SPAN>, aussi  appel\u00e9 <SPAN class=\"textit\">CISCO Secure Integrated  Software</SPAN>, ou encore <SPAN class=\"textit\">Context Based  Access Control</SPAN> (<TT>CBAC</TT>) inclus dans IOS depuis sa  version 11.2p.</P>  <P>Pour \u00eatre affect\u00e9s, le fichier de configuration du routeur  doit contenir les lignes servant \u00e0 appliquer les r\u00e8gles <TT>ip  inspect</TT>.</P>  <P>(Pour d\u00e9terminer si un routeur supporte CBAC, le nom de son  fichier image contient un \u00ab o \u00bb, comme dans <TT>c2600-io3-m</TT>  par exemple).</P>","content":"## Description\n\nCBAC est un compl\u00e9ment d'IOS permettant d'\u00e9tablir des ACL (Access\nControl Lists ou r\u00e8gles de filtrage) dynamiques sur un routeur.\n\nLorsque une connexion est \u00e9tablie vers l'ext\u00e9rieur d'un r\u00e9seau filtr\u00e9\npar le routeur, une ACL dynamique est mise en place, et autorise le\ntrafic entrant correspondant \u00e0 cette session.\n\nUne vuln\u00e9rabilit\u00e9 dans la gestion de ces ACL dynamiques permet de\ncontourner le filtrage. Lors du filtrage du trafic, seuls les adresses\nsources et destination et le num\u00e9ros de ports sont v\u00e9rifi\u00e9s, et pas le\nprotocole utilis\u00e9. Il est donc possible d'envoyer un paquet de type\ndiff\u00e9rent dans le r\u00e9seau filtr\u00e9 par le routeur.\n\n## Solution\n\nAppliquer les correctifs comme indiqu\u00e9 dans le bulletin de s\u00e9curit\u00e9\nCISCO (voir la section Documentation).\n","cves":[],"links":[{"title":"Bulletin de s\u00e9curit\u00e9 de CISCO :","url":"http://www.cisco.com/warp/public/707/IOS-cbac-dynacl/pub.shtml"}],"reference":"CERTA-2001-AVI-154","revisions":[{"description":"version initiale.","revision_date":"2001-11-29T00:00:00.000000"}],"risks":[{"description":"Contournement des r\u00e8gles de filtrage des routeurs"}],"summary":"Il est possible d'envoyer depuis l'ext\u00e9rieur d'un r\u00e9seau filtr\u00e9 par CBAC\ndes donn\u00e9es non autoris\u00e9es.\n","title":"Vuln\u00e9rabilit\u00e9 de CBAC sous CISCO IOS","vendor_advisories":[{"published_at":null,"title":"Bulletin de s\u00e9curit\u00e9 CISCO : \u00ab A vulnerability in IOS Firewall Feature Set \u00bb","url":null}]}