Уязвимость в Cisco IOS XR угрожает сетевой безопасности
Компания Cisco предупредила о серьезной уязвимости в своем программном обеспечении IOS XR, которая может привести к отказу в обслуживании (DoS) при успешной эксплуатации злоумышленниками. Данная уязвимость зарегистрирована под идентификатором CVE-2025-20115 и получила оценку 8.6 по шкале CVSS.
Эта уязвимость связана с повреждением памяти при обработке конфигурации BGP-конфедерации. Если обновление BGP содержит атрибут AS_CONFED_SEQUENCE с 255 или более автономными системами (AS), происходит переполнение буфера, что приводит к сбою процесса BGP.
Злоумышленник может отправить специально сформированные пакеты BGP-обновлений, что вызовет перезапуск процесса BGP и приведет к отказу в обслуживании сети.
Уязвимые версии Cisco IOS XR:
✅ 7.11 и более ранние версии
✅ 24.1 и более ранние версии
✅ 24.2 – 24.2.20
Если на этих версиях активирована функция BGP-конфедерации, сеть считается уязвимой.
🔐 Рекомендации по защите
1. Обновление ПО (наилучший способ защиты)
Cisco выпустила исправленные версии программного обеспечения, которые устраняют данную уязвимость:
🔹 24.2.21 (предстоящая версия)
🔹 24.3.1
🔹 24.4
Рекомендуется обновиться как можно скорее.
2. Альтернативное решение: Ограничение уязвимости
Если немедленное обновление недоступно, Cisco предлагает ограничить атрибут BGP AS_CONFED_SEQUENCE до 254 или менее автономных систем путем настройки фильтрации:
1️⃣ Создайте политику маршрутизации для блокировки BGP-обновлений с длинными AS-путями:
2️⃣ Примените эту политику к соседним BGP-устройствам:
Этот метод блокирует вредоносные BGP-обновления с длинными AS-путями и снижает риск эксплуатации уязвимости.
⚠ Дополнительные меры безопасности
🔹 Проверка конфигурации сети
Вы можете проверить, подвержено ли устройство уязвимости, выполнив команду:
Если в выводе содержится «bgp confederation peers», устройство может быть уязвимо.
🔹 Усиление мониторинга безопасности
Следите за необычно длинными AS-путями в BGP-обновлениях и реагируйте на возможные атаки.
🔹 Оповещение сетевых администраторов
Все специалисты по сетевой безопасности должны быть уведомлены о данной уязвимости и принять соответствующие меры защиты.
🔴 Вывод
CVE-2025-20115 – это серьезная уязвимость в Cisco IOS XR, которая может привести к полному отказу сети. Злоумышленники могут использовать ее для перезапуска процесса BGP и нарушения работы инфраструктуры.
Чтобы защитить сеть, необходимо как можно скорее обновить программное обеспечение или настроить фильтрацию AS_CONFED_SEQUENCE.
🚨 Главное правило: регулярно обновляйте систему и контролируйте сетевую безопасность! 🚨
