Produits Affectés :
Tous les produits fonctionnant avec le logiciel Cisco IOS supportant SSH. Cela inclut les routeurs et les commutateurs sous Cisco IOS.
- Catalyst 6000 sous CatOS.
- Cisco PIX Firewall.
- Cisco 11000 Content Service Switch family.

Détails :
En corrigeant les vulnérabilités mentionnées dans le Cisco Security Advisory : Multiple Vulnérabilités dans SSH (http://www.cisco.com/warp/public/707/SSH-multiple-pub.html ) une instabilité a été introduite dans certains produits. Quand SSH est exposé à un paquet trop gros, son processus consommera une grande partie des instructions processeur, causant effectivement un DoS. Cette capacité à créer ce genre de paquets dans un code disponible. Dans certains cas, cette attaque peut entraîner le redémarrage de l’appareil. Pour être exposé SSH doit être activé sur l’appareil.

Logiciel et Patch :
Une table contenant les versions affectés et leurs patchs appropriés peuvent être trouvés à : http://www.cisco.com/warp/public/707/SSH-scanning.shtml#Software >

Obtenir les logiciels corrigés :
Cisco offre des mises à jour gratuite afin d'éliminer ces vulnérabilités pour tous ses clients affectés. Les clients avec des contrats peuvent obtenir des mises à jour par les canaux réguliers de mises à jour. Cela signifie que pour la plupart des clients, ils obtiendront les logiciels à partir du Software Center : http://www.cisco.com.

Pour les clients qui ont obtenu les produits Cisco ou qui sont maintenus par une autre organisation comme les partenaires de Cisco, revendeurs agrées, ou fournisseur de services doivent contacter cette organisation pour les mises à jour, qui devraient être gratuites.

Workarounds :
Il est possible d’atténuer cette vulnérabilité de deux manières :
- Bloquer toutes les connections à la frontière de vôtre réseau, ou
- Sur chaque appareil autorisé seulement les connections SSH à partir de l’adresse IP désirée et bloquer toutes les autres.

Bloquer tous les connexions SSH et tous les autres protocoles qui ne sont pas supposer venir de l'extérieur, sur le bord du réseau doivent être une partie intégrante de la sécurité du réseau.