總機(jī)：020-87516161 傳真：020-87516161-8040
地址：廣州市天河北路898號信源大廈3206-3211室 郵編：510660
安全公告編號:CNTA-2016-0007
近日，國家信息安全漏洞共享平臺（CNVD）收錄了Cisco ASA Software IKE密鑰交換協(xié)議緩沖區(qū)溢出漏洞（CNVD-2016-00929，對應(yīng)CVE-2016-1287）。攻擊者利用漏洞可致網(wǎng)絡(luò)設(shè)備重載或遠(yuǎn)程代碼執(zhí)行，進(jìn)而可獲取目標(biāo)系統(tǒng)的控制權(quán)限，構(gòu)成信息泄露和運(yùn)行安全風(fēng)險(xiǎn)。
一、漏洞情況分析
Cisco ASA是一款自適應(yīng)安全設(shè)備，可提供安全和VPN服務(wù)的模塊化平臺，可提供防火墻、IPS、anti-X和VPN服務(wù)。由于Cisco ASA Software分段協(xié)議中的IKE網(wǎng)絡(luò)密鑰交換算法存在設(shè)計(jì)缺陷，IKEv1及IKEv2代碼中存在緩沖區(qū)溢出漏洞。未經(jīng)身份驗(yàn)證的遠(yuǎn)程攻擊者利用漏洞發(fā)送特制的UDP數(shù)據(jù)包到受影響系統(tǒng)，可致設(shè)備重載或遠(yuǎn)程代碼執(zhí)行，進(jìn)而可獲取到目標(biāo)系統(tǒng)的完整控制權(quán)。CNVD對該漏洞的綜合評級為“高危”，且對應(yīng)的安全威脅CVSS基準(zhǔn)評分為10分（最高分即為10分）。
二、漏洞影響范圍
漏洞影響多款運(yùn)行了思科ASA防火墻軟件的設(shè)備，產(chǎn)品用戶遍及電信、金融、服務(wù)、零售等行業(yè)以及政府部門和教育機(jī)構(gòu)等，部分設(shè)備還附帶VPN模塊或可用作VPN用途，對于內(nèi)部區(qū)域網(wǎng)絡(luò)構(gòu)成直接威脅。受影響設(shè)備列表包括：
思科ASA 5500系列自適應(yīng)安全設(shè)備
思科ASA 5500-X系列下一代防火墻
思科Catalyst 6500系列交換機(jī)的思科ASA服務(wù)模塊
思科7600系列路由器
思科ASA 1000V云防火墻
思科自適應(yīng)安全虛擬設(shè)備（ASAV）
思科Firepower 9300 ASA安全模塊
思科ISA 3000工業(yè)安全設(shè)備
根據(jù)CNVD初步檢測結(jié)果，互聯(lián)網(wǎng)上共有1萬臺Cisco ASA系列防火墻設(shè)備暴露在互聯(lián)網(wǎng)上，其中歐美國家占絕大多數(shù)。居前五位的是美國（60.7%）、英國（5.0%）、加拿大（3.7%）、德國（3.2%）、荷蘭（3.1%），中國占比約為1.0%。
三、漏洞修復(fù)建議
目前，互聯(lián)網(wǎng)上已披露針對漏洞利用原理的詳細(xì)分析（暫未出現(xiàn)公開的攻擊利用代碼），廠商已發(fā)布了安全公告修復(fù)該漏洞。CNVD建議相關(guān)用戶及時(shí)下載更新，避免引發(fā)漏洞相關(guān)的網(wǎng)絡(luò)安全事件，特別是國內(nèi)電信和互聯(lián)網(wǎng)行業(yè)以及重要行業(yè)單位注意排查本單位使用的上述設(shè)備列表情況。
附：參考鏈接：
https://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2016-1287
https://tools.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-20160210-asa-ike
https://blog.exodusintel.com/2016/02/10/firewall-hacking/
http://www.cnvd.org.cn/flaw/show/CNVD-2016-00929