Vulnerability Team

El FWSM es un módulo de firewall integrado en los switches Catalyst 6500 y routers Cisco 7600. El problema afecta las versiones 3.1.x, 3.2.x, 4.0.x, y 4.1.x sin parchear de Cisco FWSM Software si se encuentra activada la inspección SCCP (configuración por defecto). Cisco ASA 5500 Series Adaptive Security Appliances también se ve afectado por esta vulnerabilidad.

El problema reside en un error en la inspección de mensajes SCCP (Skinny Client Control Protocol) cuando el inspector de SCCP está habilitado que podría provocar el reinicio del dispositivo. Esto podría ser aprovechado por un atacante remoto para provocar causar una denegación de servicio a través de un paquete SCCP especialmente manipulado.

Cisco ha publicado una versión actualizada del software que corrige este problema y puede descargarse desde: http://www.cisco.com/cisco/software/navigator.html

En Products > Security > Firewall > Firewall Integrated Switch/Router Services > Cisco Catalyst 6500 Series Firewall Services Module > Firewall Services Module (FWSM) Software.
En cualquier caso se recomienda consultar la tablas de versiones vulnerables, actualizaciones y contramedidas, en los avisos publicados por Cisco.

Más información:
http://www.cisco.com/warp/public/707/cisco-sa-20110223-fwsm.shtml
http://www.cisco.com/warp/public/707/cisco-sa-20110223-asa.shtml 

fuente: csirtcv.gva.es

The state of security. Starting from 1971 with the first virus. Progressing to the present security challenges of today such as denial of service attacks to the future 2020

Muchos de los firewalls más comúnmente utilizados son vulnerables a un exploit que permite a los atacantes “engañarles” para entrar en las redes internas de las empresas como si se tratara de conexiones IP de confianza.

Recientemente NSS Lab ha probado media docena de firewalls de red para comprobar sus vulnerabilidades, y todos excepto uno de ellos eran vulnerables a un tipo de ataque denominado “TCP Split Handshake Attack”, que permite a los hackers conectarse en remoto y hacer que el cortafuegos les permitan la entrada como si se tratara de una conexión IP digna de confianza.

“Si el firewall interpreta así la conexión, la política de seguridad que aplicará al hacker será la misma que a un usuario interno, por lo que éste podrá escanear dónde se encuentran las máquinas”, explica Rick Moy, presidente de NSS Labs. Después el atacante podrá moverse bastante a sus anchas por la red, dado que el firewall ha considerado erróneamente la dirección IP como si se tratara de una dirección legítima.

En las pruebas que han llevado a la compañía a estas conclusiones, la firma de análisis independiente NSS Labs comparó el comportamiento de los firewalls Check Point Power-1 11065, Cisco ASA 5585-40, Fortinet Fortigate 3950, Juniper SRX 5800, Palo Alto Networks PA-4020 y SonicWall NSA E8500.

“De los seis productos probados, cinco permitieron que atacantes externos consiguieran engañar al firewall para que los tratara como máquinas internas autorizadas”, según NSS Labs. El único que paró estas entradas fue el firewall de Check Point.
  
NSS LABS REMEDY.


URL. 
http://blogs.cisco.com/security/cisco-investigation-for-tcp-split-handshake-issue-reported-by-nss/
http://nmap.org/misc/split-handshake.pdf


fuente: csospain.es