CDPwn-Anfälligkeiten betreffen Millionen von Enterprise Geräten

Sicherheitsforscher haben Details zu fünf Schwachstellen im Cisco Discovery Protocol (CDP) veröffentlicht. Das proprietäre Protokoll erlaubt es Cisco-Geräten, Informationen über Multicast-Nachrichten auszutauschen. Es ist in einer Vielzahl von Cisco-Produkten integriert und wird seit mehr als 20 Jahren benutzt. Allerdings funktioniert es nicht über das Internet und nur innerhalb lokaler Netzwerke.

Entdeckt wurden die Bugs vom IoT-Cybersecurity-Anbieter Armis, der sie CDPwn nennt. Demnach lassen sich vier der fünf Anfälligkeiten aus der Ferne ausnutzen, um Schadcode einzuschleusen und auszuführen. In der Praxis soll es möglich sein, die vollständige Kontrolle über Cisco-Geräte zu übernehmen, auf denen das fehlerhafte Protokoll ausgeführt wird. Die fünfte Lücke führt zu einem Absturz eines Geräts und lässt sich somit für Denial-of-Service-Angriffe nutzen.

Da das Protokoll grundsätzlich nicht über das Internet erreichbar ist, muss ein Angreifer zuerst in das lokale Netzwerk eindringen, um die Schwachstellen ausnutzen zu können. Als Eintrittspunkt kann laut Ben Seri, Vice President of Research bei Armis, alles dienen, was mit dem lokalen Netzwerk und dem Internet verbunden ist, also auch IoT-Geräte. Ein solches Gerät würde dann benutz, um speziell gestaltete CDP-Nachrichten im Netzwerk zu verbreiten und die Kontrolle über Cisco-Produkte zu übernehmen.

Den Forschern zufolge wären Router, Switches und Firewalls die besten Ziele. Sie würden ab Werk mit aktiviertem CDP ausgeliefert und böten zudem Zugriff auf das gesamte Unternehmensnetzwerk. Die Sicherheitslücken seien also geeignet, einen auf ein einzelnes Netzwerkgerät beschränkten Angriff auf das gesamte Netzwerk auszuweiten. Es soll auch möglich sein, mithilfe von kompromittierten Routern und Switches von Cisco die Grenzen zwischen von einander getrennten Netzwerken zu überwinden.

Anfällig sind aber auch VoIP-Telefone und IP-Kameras von Cisco, weil auch sie mit dem Cisco Discovery Protocol ausgestattet sind. Hier sollen die Schwachstellen das Abhören von Telefonaten und Videofeeds erlauben.

Betroffen sind den Forschern zufolge alle Cisco-Router mit IOS-XR-Betriebssystem, alle Nexus-Switches, alle IP-Kameras von Cisco und die VoIP-Telefone der Serien 7800 und 8800. „Unglücklicherweise sind die meisten CDPwn-Anfälligkeiten, die wir entdeckt haben, einfache Heap- oder Stack-Overflow-Anfälligkeiten, was eine Ausnutzung sehr wahrscheinlich macht“, ergänzte Seri. Eine Remotecodeausführung sei zudem mit Demo-Exploits bereits gelungen.

Cisco sind die Erkenntnisse der Forscher schon seit Monaten bekannt, was dem Unternehmen die Möglichkeit gab, Patches zu entwickeln. Sie stehen bereits über das Web-Portal des Unternehmens zum Download bereit. Zudem stellt Cisco Behelfslösungen parat, falls Administratoren die verfügbaren Patches nicht sofort einspielen können.