S.G.D.S.N
Agence nationale
de la sécurité des
systèmes d'information
Paris, le 25 septembre 2008
N° CERTA-2008-AVI-474
Affaire suivie par: CERT-FR
le 25 septembre 2008

Avis du CERT-FR

Objet: Multiples vulnérabilités dans Cisco IOS

Gestion du document

Référence CERTA-2008-AVI-474
Titre Multiples vulnérabilités dans Cisco IOS
Date de la première version 25 septembre 2008
Date de la dernière version 25 septembre 2008
Source(s) Bulletin de sécurité Cisco #107631 du 24 septembre 2008
Pièce(s) jointe(s) Aucune(s)
Tableau 1: Gestion du document

Une gestion de version détaillée se trouve à la fin de ce document.

Risque

  • Déni de service à distance ;
  • contournement de la politique de sécurité.

Systèmes affectés

  • Cisco IOS 12.x et dérivés.

Résumé

Plusieurs vulnérabilités présentes dans les IOS Cisco permettent à un utilisateur distant malintentionné de provoquer un déni de service ou de contourner la politique de sécurité du système.

Description

Plusieurs vulnérabilités sont présentes dans le système d'exploitation IOS des équipements Cisco. Ces failles sont relatives à la mise en œuvre par l'IOS :

  • de la couche SSL ( Bulletin Cisco #107631 ) ;
  • du multicast ( Bulletin Cisco #107550 ) ;
  • de la translation d'adresse : NAT ( Bulletin Cisco #99866 ) ;
  • du protocole SIP: Session Initiation Protocol ( Bulletin Cisco #107617 et 107971 ) ;
  • des fonctionnalités d'IPS : Intrusion Prevention System ( Bulletin Cisco #107583 ) ;
  • du protocole SNMP : Simple Network Management Protocol ( Bulletin Cisco #107696 ) ;
  • du MPLS : Multiprotocol Label Switching ( Bulletin Cisco #107578 et 107646 ) ;
  • du système d'IPC : Inter-Process Communication ( Bulletin Cisco #107661 ) ;
  • du firewall AIC : firewall Application Inspection Control ( Bulletin Cisco #107716 ) ;
  • et du protocole L2TP : Layer 2 Tunneling Protocol ( Bulletin Cisco #107441 ) .

La vulnérabilité relative aux VPN MPLS (Bulletin Cisco #107578) permet à un utilisateur distant malintentionné de contourner la politique de sécurité du système vulnérable. Toutes les autres vulnérabilités permettent à un utilisateur distant malintentionné de provoquer un déni de service.

Solution

Se référer aux bulletins de sécurité de l'éditeur pour l'obtention des correctifs (cf. section Documentation).

Documentation

Gestion détaillée du document

    le 25 septembre 2008
    version initiale.