Offcanvas

보안 / 통신|네트워크

시스코, 넥서스 스위치 보안 약점 경고

2020.06.03 Michael Cooney   |  Network World
시스코 넥서스 NS-OS 소프트웨어가 도스(DOS) 공격을 만드는 데 악용될 수 있는 것으로 밝혀졌다. 
 
ⓒGetty Images Bank

시스코는 넥서스 핵심 데이터센터 스위치 고객에게 박스형 서비스 거부 공격에 노출될 수 있는 취약점을 해결해야 한다고 이야기하고 있다.

넥서스 NX-OS 소프트웨어에서 발견된 이 취약점은 CVE(Common Vulnerability Scoring System)에서 10점 만점에 8.6점을 획득할 정도로 ‘높은’ 위험 문제를 만든다.

시스코에 따르면, 이 취약점은 해당 장비가 로컬로 구성된 IP 주소로 향하는 IP-in-IP 패킷을 예기치 않게 캡슐화를 해제하고 처리하기 때문에 발생한다. IP-in-IP는 다른 IP 패킷 내에서 IP 패킷을 래핑하는 터널링 프로토콜이다.

“악용에 성공하면 영향받은 장비가 예기치 않게 IP-in-IP 패킷의 캡슐을 해제하고 내부 IP 패킷을 전달할 수도 있다. 이로 인해 IP 패킷이 영향받은 장비에서 구성된 입력 액세스 제어 목록(ACL)이나 네트워크의 다른 곳에 정의된 기타 보안 경계를 우회할 수 있다. 특정 조건에서 익스플로잇으로 인해 네트워크 스택 프로세스가 충돌하고 여러 번 다시 시작돼 영향받은 장비가 다시 로드되고 도스 상태가 될 수 있다”라고 시스코는 경고했다

이 취약점은 VM웨어 v스피어용 넥서스 1000 가상 에지에서 넥서스 9000 시리즈에 이르는 다양한 넥서스 스위치에 영향을 준다.

시스코는 시스코 NX-OS 소프트웨어 장비 보안 가이드에서 권장하는 대로 필요한 관리 및 제어 플레인 트래픽만 영향받은 장비에 도달할 수 있도록 인프라 액세스 제어 목록(iACL)을 구성하는 해결책을 제시했다.

“네트워크에서 합법적인 IP-in-IP 트래픽이 사용되지 않는 경우 고객은 iACL의 일부로 프로토콜 번호 4(IP-in-IP 패킷에 해당)를 가진 모든 IP 패킷을 명시적으로 거부할 수도 있다. 영향받은 장비로 향하는 IP-in-IP 트래픽을 삭제하기 위해 사용자 지정 CoPP(Control-plane-Pocing) 정책을 사용할 수도 있다. 그러나 CoPP 사용자 정의에 대한 지원은 넥서스 플랫폼 및 소프트웨어 릴리스마다 다르다”라고 시스코는 설명했다. 

이 해결 방법의 타당성을 평가하고 영향받은 장비에서 구현하는 데 도움이 필요하면 지원 조직에 문의하는 것이 좋다. 시스코는 시스코 소프트웨어 체커(Cisco Software Checker)가 특정 시스코 NX-OS 소프트웨어 릴리즈에 영향을 미치는 시스코 보안 권고를 확인하고 각 권고에 설명된 취약점을 수정하는 최초 릴리스를 ‘최초 수정’이라고 명명했다.

이밖에 시스코는 취약점을 해결하는 무료 소프트웨어 업데이트도 발표했다. ciokr@idg.co.kr
 
CIO Korea 뉴스레터 및 IT 트랜드 보고서 무료 구독하기
Sponsored
추천 테크라이브러리

회사명:한국IDG 제호: CIO Korea 주소 : 서울시 중구 세종대로 23, 4층 우)04512
등록번호 : 서울 아01641 등록발행일자 : 2011년 05월 27일

발행인 : 박형미 편집인 : 천신응 청소년보호책임자 : 한정규
사업자 등록번호 : 214-87-22467 Tel : 02-558-6950

Copyright © 2024 International Data Group. All rights reserved.