Бреши в Ethernet VLAN Stacking позволяют провести DoS- и MiTM-атаки

Бреши в Ethernet VLAN Stacking позволяют провести DoS- и MiTM-атаки

Бреши в Ethernet VLAN Stacking позволяют провести DoS- и MiTM-атаки

В Ethernet-функции “Stacked VLAN” нашли четыре уязвимости, позволяющие провести атаку вида «Человек посредине» (man-in-the-middle, MitM) или вызывать DoS с помощью специально созданных сетевых пакетов.

Stacked VLAN или VLAN Stacking — доступная в современных маршрутизаторах и коммутаторах функция, позволяющая организациям собрать множество VLAN-идентификаторов в одно подключение, расшаренное с провайдером. Подробнее о функции написано в документации Cisco.

Координационный центр CERT рассказал о выявленных уязвимостях после того, как дал вендорам время на изучение проблемы и выпуск соответствующих обновлений. Проблемы затрагивают сетевые устройства вроде маршрутизаторов и коммутаторов, а также операционные системы, использующие Layer-2 (L2) для фильтрации трафика и изоляции сети.

Компании Cisco и Juniper Networks уже признали, что ряд их продуктов находится в зоне риска. Тем не менее многие вендоры так и не проанализировали бреши, поэтому масштаб проблемы пока остается неизвестным.

Согласно описанию, баги кроются в протоколах инкапсуляции Ethernet. Не прошедший аутентификацию злоумышленник может использовать комбинацию заголовков VLAN и LLC/SNAP для обхода сетевой фильтрации трафика вроде защиты IPv6 RA, динамической проверки ARP и DHCP-снупинга. Уязвимости получили следующие идентификаторы:

  • CVE-2021-27853 — позволяет обойти сетевую фильтрацию с помощью комбинаций заголовков VLAN 0 и LLC/SNAP.
  • CVE-2021-27854 — также позволяет обойти фильтрацию на уровне Layer 2 с помощью комбинации заголовков VLAN 0, LLC/SNAP.
  • CVE-2021-27861 — проблема некорректной длины заголовков LLC/SNAP, проводящая к обходу защиты IPv6 RA.
  • CVE-2021-27862 — такой же обход защиты IPv6 RA с помощью заголовков LLC/SNAP с некорректной длиной.

Используя любую из этих брешей (независимо от других), условный атакующий может заставить устройство жертвы направить трафик куда угодно.

«Злоумышленник может отправить специально созданные пакеты для DoS-атаки или MitM», — пишут представители CERT.

Juniper Networks подтвердила, что CVE-2021-27853 и CVE-2021-27854 затрагивают отдельные продукты, а также выпустила соответствующие патчи. Cisco опубликовала собственное уведомление, в котором отмечается, что уязвимости CVE-2021-27853 и CVE-2021-27861 также затрагивают ряд продуктов.

Подпишитесь на новости

В авиабилеты россиян могут добавить до 1000 рублей на новые самолёты

В России обсуждают новый сбор с авиапассажиров, который должен помочь оплатить лизинг и эксплуатацию отечественных самолётов. Предварительно речь идёт о сумме до 500 рублей за билет на внутренний рейс и до 1000 рублей — на международный.

Инициативу прорабатывают Минтранс, Минпромторг и «Ростех», выяснил «Коммерсантъ».

Никаких окончательных решений пока нет: власти ещё не утвердили ни размер платежа, ни методику его взимания. Один из источников называет и более интересные цифры — до 700 рублей внутри страны и до 2000 рублей за зарубежный рейс.

При пассажиропотоке 2025 года сбор мог бы приносить от 68 до 84 млрд рублей ежегодно. В общей сложности за 2027-2030 годы планируется собрать порядка 200-250 млрд рублей.

Деньги предполагается направлять лизинговым компаниям для покрытия разницы между себестоимостью самолётов и льготной ценой для перевозчиков. Часть средств могут получить авиакомпании, которым предстоит эксплуатировать новые машины: на первых этапах российские самолёты дороже западных аналогов не только при покупке, но и в обслуживании. Отдельно обсуждается компенсация расходов на авиатопливо.

Например, себестоимость первых МС-21 оценивается в 8,9-11 млрд рублей, тогда как Airbus A320–200 — примерно в 3,4-3,6 млрд. SJ-100 может обходиться в 5,4 млрд рублей против около 3 млрд за Embraer E190.

Предполагается, что после 2030 года серийное производство снизит стоимость российских самолётов и сбор станет не нужен. Но пассажирам обещание, что это временно наверняка покажется подозрительно знакомым.

Эксперты предупреждают: дополнительная нагрузка поднимет цены на билеты и может снизить пассажиропоток, а вместе с ним — доходы авиакомпаний, аэропортов и бюджета. Поэтому оплачивать первые годы эксплуатации новых самолётов предлагают из казны. Впрочем, там свободных кресел тоже почти не осталось.

RSS: Новости на портале Anti-Malware.ru