Produits Affectés :
Tous les appareils Cisco ONS15454 fonctionnant avec Cisco ONS versions 31.0 jusqu’à 3.2.0, sont affectés par cette vulnérabilité.

Les appareils non affectés incluent la plateforme de transport optique d’extrémité Cisco ONS15327, la plateforme de service étendue Cisco ONS15540, la série ONS15800, la série metro système DWDM ONS15200 et le concentrateur de transport IP ONS15194.

Aucun autre produit n’est actuellement affecté par cette vulnérabilité.

Pour déterminer la version de vôtre logiciel, voir la fenêtre d’aide sur le CTC.

Détails :
Quand un paquet IP avec un bit TOS non nul dans sont en – tête est reçu par le TCC sur l’interface LAN, cela entraîne le redémarrage du TCC sur les versions 3.1.0 et ultérieure. Quand le paquet corrompu est envoyé plusieurs fois, le redémarrage du TCC laisse TCC inactive sur la plateforme.

Afin d’exploiter cette vulnérabilité, un hacker doit être capable d’établir une connexion IP à l’interface LAN du TCC.

Cette vulnérabilité est documentée comme le bug ID CSCdx48853.

Impact :
Quand les deux TCC sont réinitialises simultanément, la carte E100 et la carte E1000 arrêtent la passage du trafique. Les cartes G1000 n’affecteront pas le trafique. Le trafique peut être compromis avec TDM parce que le timing n’est plus synchronise. La protection de commutation est compromise.

Logiciel et Patch :
Cette vulnérabilité est corrigée dans le logiciel Cisco ONS version 3.2.1 et ultérieure.

Le logiciel Cisco ONS version 3.2.1 est la version corrigée pour cette vulnérabilité. Le logiciel Cisco ONS version 3.3.0 est actuellement disponible comme une version corrigée d’intérim pour cette vulnérabilité en attendant la version 3.2.1 à la fin du mois de juillet 20002.

La procédure pour mettre à jour le Cisco ONS 15454 à la version corrigée est détaillée à : http://www.cisco.com/univercd/cc/td/doc/product/ong/15400/r33docs/sftuprgd/index.htm.

Obtenir les logiciels corrigés :
Cisco offre des mises à jour gratuites afin d'éliminer ces vulnérabilités pour tous ses clients affectés. Les clients avec des contrats peuvent obtenir des mises à jour par les canaux réguliers de mises à jour. Cela signifie que pour la plupart des clients, ils obtiendront les logiciels à partir du site : http://www.cisco.com.

Pour les clients qui ont obtenu les produits Cisco ou qui sont maintenus par une autre organisation comme les partenaires de Cisco, revendeurs agrées, ou fournisseur de services doivent contacter cette organisation pour les mises à jour, qui devraient être gratuites.

Workarounds:
Restreindre le trafique IP vers la passerelle avec un routeur configuré pour changer le TOS à zéro pour tous les paquets arrivant au TCC.

Exemple de configuration de routeur Cisco :
class-map match-all MY_LAN
match any
!--- Matches all packets
!
!
policy-map SET_TOS
class MY_LAN
set ip dscp default
!--- Sets all packets to "00000000" (Best effort)

!
interface FastEthernet0/0
service-policy output SET_TOS
!--- Modifies outbound packets