Бреши в Ethernet VLAN Stacking позволяют провести DoS- и MiTM-атаки

Бреши в Ethernet VLAN Stacking позволяют провести DoS- и MiTM-атаки

Бреши в Ethernet VLAN Stacking позволяют провести DoS- и MiTM-атаки

В Ethernet-функции “Stacked VLAN” нашли четыре уязвимости, позволяющие провести атаку вида «Человек посредине» (man-in-the-middle, MitM) или вызывать DoS с помощью специально созданных сетевых пакетов.

Stacked VLAN или VLAN Stacking — доступная в современных маршрутизаторах и коммутаторах функция, позволяющая организациям собрать множество VLAN-идентификаторов в одно подключение, расшаренное с провайдером. Подробнее о функции написано в документации Cisco.

Координационный центр CERT рассказал о выявленных уязвимостях после того, как дал вендорам время на изучение проблемы и выпуск соответствующих обновлений. Проблемы затрагивают сетевые устройства вроде маршрутизаторов и коммутаторов, а также операционные системы, использующие Layer-2 (L2) для фильтрации трафика и изоляции сети.

Компании Cisco и Juniper Networks уже признали, что ряд их продуктов находится в зоне риска. Тем не менее многие вендоры так и не проанализировали бреши, поэтому масштаб проблемы пока остается неизвестным.

Согласно описанию, баги кроются в протоколах инкапсуляции Ethernet. Не прошедший аутентификацию злоумышленник может использовать комбинацию заголовков VLAN и LLC/SNAP для обхода сетевой фильтрации трафика вроде защиты IPv6 RA, динамической проверки ARP и DHCP-снупинга. Уязвимости получили следующие идентификаторы:

  • CVE-2021-27853 — позволяет обойти сетевую фильтрацию с помощью комбинаций заголовков VLAN 0 и LLC/SNAP.
  • CVE-2021-27854 — также позволяет обойти фильтрацию на уровне Layer 2 с помощью комбинации заголовков VLAN 0, LLC/SNAP.
  • CVE-2021-27861 — проблема некорректной длины заголовков LLC/SNAP, проводящая к обходу защиты IPv6 RA.
  • CVE-2021-27862 — такой же обход защиты IPv6 RA с помощью заголовков LLC/SNAP с некорректной длиной.

Используя любую из этих брешей (независимо от других), условный атакующий может заставить устройство жертвы направить трафик куда угодно.

«Злоумышленник может отправить специально созданные пакеты для DoS-атаки или MitM», — пишут представители CERT.

Juniper Networks подтвердила, что CVE-2021-27853 и CVE-2021-27854 затрагивают отдельные продукты, а также выпустила соответствующие патчи. Cisco опубликовала собственное уведомление, в котором отмечается, что уязвимости CVE-2021-27853 и CVE-2021-27861 также затрагивают ряд продуктов.

Подпишитесь на новости

Gartner: к 2028 году ИИ-кодинг станет дороже зарплаты разработчика

ИИ пишет код, а счёт за его работу начинает кусаться. По прогнозу Gartner, к 2028 году расходы на разработку с использованием больших языковых моделей обгонят среднюю зарплату программиста. Причины — рост потребления токенов и переход поставщиков к оплате по фактическому использованию.

Токены — единицы данных, которые обрабатывает модель. Чем активнее работают агенты и чем больше информации им передают, тем выше расходы.

Фиксированная подписка уступает место тарификации, при которой бюджет предсказать гораздо сложнее.

По оценке аналитика Gartner Нитиша Тьяги, разработчики обычно оптимизируют скорость и удобство работы. Дисциплина расходов сама собой не появится: без контроля затраты способны расти быстрее продуктивности.

Масла в огонь подливают чрезмерная автономность агентов, раздутый контекст и отсутствие регулярного разбора дорогих задач. А встроенные инструменты оптимизации расходов у поставщиков пока недостаточно зрелые.

Gartner рекомендует заранее определять, какие задачи поручать ИИ и сколько самостоятельности ему давать. Простую работу стоит направлять небольшим дешёвым моделям, сложную — более мощным. Контекст нужно очищать от лишнего, потребление токенов, а перерасход разбирать на ретроспективах.

RSS: Новости на портале Anti-Malware.ru