CCIE.pl

Miało być nowocześnie i elastycznie no i jest, tylko że wychodzi że może być zbyt bardzo "elastycznie". Cholera nie wygląda to zbyt dobrze.

https://www.wired.com/story/cisco-route ... st-anchor/

Niestety, każdy robi błędy, ale tylko nieliczni się przyznają. Warto rzucić okiem i dokładnie przeczytać notkę naszego PSIRTu, atak wymaga lokalnego administratora i odwagi - bo gotowego "firmware" do FPGA nie ma, a koledzy spalili sobie dwa routery eksperymentując:
https://tools.cisco.com/security/center ... secureboot

No tak ale jak ktoś spali wymaganą i skończoną liczbę routerów aby uzyskać pożądany efekt to niestety wtedy już żadna cudowna łatka nie pomoże - tak zwana czarna dupa.

Jeżeli dobrze rozumiem, aby wykorzystać podatność musisz mieć:
-Konto Admina
-Fizyczny dostęp?
Dobrze to widzę?

Cytując za: https://tools.cisco.com/security/center ... secureboot

"An attacker will need to fulfill all the following conditions to attempt to exploit this vulnerability:

- Have privileged administrative access to the device.
- Be able to access the underlying operating system running on the device; this can be achieved either by using a supported, documented mechanism or by exploiting another vulnerability that would provide an attacker with such access.
- Develop or have access to a platform-specific exploit. An attacker attempting to exploit this vulnerability across multiple affected platforms would need to research each one of those platforms and then develop a platform-specific exploit. Although the research process could be reused across different platforms, an exploit developed for a given hardware platform is unlikely to work on a different hardware platform."

Musisz mieć prawa administratora na urządzeniu, a następnie dostać się do shella. Atak można przeprowadzić zdalnie, jeśli uprzednio na urządzeniu znajdzie się odpowiednio zmodyfikowany firmware służący do przeprogramowania FPD. Dodatkowo, urządzenie musi być następnie przeładowane.

No błąd jest na pewno poważny skoro się nazwy dorobił i swojej własnej strony/domeny

https://thrangrycat.com/

bart pisze: ↑21 maja 2019, 14:56 No błąd jest na pewno poważny skoro się nazwy dorobił i swojej własnej strony/domeny

Cała ta sprawa jest "dęta" jak balon - może stąd nazwa "Red Balloon Security" ;P Przeprogramować FPGA a potem krzyczeć "błąd, błąd, błąd". No tak to można skompromitować prawie dowolne urządzenie na rynku.

Bez przesady Kyniu. Strzeliliśmy sobie sami gola, trzeba to publicznie przyznać - ale mam nadzieję, że już więcej się to nie wydarzy. Co więcej, jak to się mówi - tylko ten nie robi błędów, kto nic nie robi. Koledzy od Trustworthy Networks biją się w pierś, przeglądają jeszcze raz wszystkie założenia i myślę, że wersja "2.0" nie da się tak "prosto" obejść.

lbromirs pisze: ↑22 maja 2019, 19:22 Bez przesady Kyniu. Strzeliliśmy sobie sami gola

Ile produktów sieciowych nie posiada żadnych mechanizmów weryfikacji, walidacji autentyczności kodu i pozwala uruchomić dowolny niepodpisany firmware jaki mu się podsunie? Bez konieczności ingerencji w FPGA czy podobne rozwiązania? Że Cisco się przyznaje i poczuwa to dobrze ale jako inżynierowie też podchodźmy trzeźwo do takich rewelacji. Bo często ci co najchętniej rzucają kamieniami, sami mają za paznokciami dużo więcej brudu.