Нетоскоп / Новости / Дыра позволяет доступаться к маршрутизаторам Cisco без авторизации

		Нетоскоп/Новости/02.07.2001 http://www.netoscope.ru/news/2001/07/02/2776.html Дыра позволяет доступаться к маршрутизаторам Cisco без авторизации Вячеслав Ансимов 2.07.2001 18:21

Cisco Systems и Computer Emergency Response Team (CERT) сообщили о том, что в операционной системе маршрутизаторов Cisco IOS обнаружена дыра, позволяющая хакерам прерывать и перенаправлять интернет-трафик, а также перехватывать предаваемую информацию.

Фактически дыра, обнаруженная в четверг, позволяет получать доступ к управлению маршрутизатором без всякой авторизации. Удаленный пользователь может в специально составленном URL посылать на маршрутизатор Cisco с установленным HTTP-сервером выполняемые команды с наивысшим приоритетом, минуя при этом авторизацию. Для проникновения на конкретный сервер требуется перебрать 84 варианта строки URL, что, в общем, не представляется особенно сложным.

В строке
http:///level/xx/exec/....
надо вместо xx подставлять числа от 16 до 99.

Данному багу присвоен идентификационный номер Cisco Bug ID CSCdt93862. На сайте Cisco представлены результаты тестирования бага для различных версий операционной системы Cisco IOS. Компания уже выпустила заплатку и предлагает своим пользователям обращаться за ней по своим обычным update-каналам или через Software Center на www.cisco.com.

Со стороны CERT придание гласности дыр в защите компьютерных систем является частью ее политики с осени прошлого года. У многих специалистов это вызывает большие возражения. CERT - это организация, занимающаяся отслеживанием проблем компьютерной безопасности в Интернете. Координационный центр CERT базируется при Университете Карнеги-Меллона в Питсбурге.

Маршрутизаторы Cisco в настоящее время абсолютно доминируют в Интернете. Поэтому разглашение данных о дыре может вызвать серьезные проблемы, если системные адмистраторы быстро ее не закроют. Хакеры могут перехватывать любую информацию, например, номера кредитных карточек. Пока об реальном использовании бага в злонамеренных целях не сообщалось.