Vulnérabilités dans des produits Cisco

Deux vulnérabilités liées à l'implémentation du protocole IPv6 ont été corrigées dans le système d'exploitation StarOS. Elles permettent à un attaquant distant non-authentifié d'effectuer un déni de service.

CVE-2020-3324 [Score CVSS  v3 : 8.6] : La vulnérabilité est due à une validation insuffisante du trafic IPv6 entrant. Un attaquant pourrait exploiter cette vulnérabilité en envoyant un paquet IPv6 spécialement conçu à un appareil. Une exploitation réussie pourrait permettre à l'attaquant de provoquer un rechargement inattendu de l'appareil, entraînant une condition de déni de service. Cette vulnérabilité est spécifique au trafic IPv6. Le trafic IPv4 n'est pas affecté.

CVE-2020-3500 [Score CVSS  v3 : 6.8] : La vulnérabilité est due à une validation insuffisante du trafic IPv6 entrant. Un attaquant pourrait exploiter cette vulnérabilité en envoyant un paquet IPv6 spécialement conçu à un appareil affecté dans le but d'atteindre la section vulnérable du tampon d'entrée. Une exploitation réussie pourrait permettre à l'attaquant de provoquer le rechargement de l'appareil, ce qui entraînerait une condition de déni de service. Cette vulnérabilité est spécifique au trafic IPv6. Le trafic IPv4 n'est pas affecté.

Informations
+

Risques

  • Déni de service

Criticité

  • Score CVSS  v3 : 8.6

Existence d’un code d’exploitation

  • Aucun code d’exploitation n’est disponible 

Composants vulnérables

  • Cette vulnérabilité affecte les produits Cisco s'ils exécutent une version vulnérable de Cisco StarOS et si la fonction de traitement des paquets vectoriels (VPP) est activée. 

CVE

  • CVE-2020-3324

  • CVE-2020-3500


Recommandations
+

Mise en place de correctifs de sécurité

  • Les mises à jour nécessaires sont indiquées par Cisco dans un tableau récapitulatif

Solution de contournement

  • Aucune solution de contournement n’est disponible