CVE-2016-6178

Atakujący posiadający dostęp do płaszczyzny sterowania (control plane) urządzenia może wysłać specjalnie spreparowany pakiet sieciowy. Niewystarczająca walidacja danych wejściowych (CWE-20) powoduje, że urządzenie przetwarza złośliwy pakiet w sposób prowadzący do awarii systemu lub wykonania arbitralnego kodu. Podatność dotyczy mechanizmu przetwarzania pakietów multicast LDP FEC, co sugeruje tytuł opublikowanego przez Huawei biuletynu bezpieczeństwa.

Atakujący może spowodować niedostępność urządzenia sieciowego (DoS) lub wykonać dowolny kod na podatnym urządzeniu, co może skutkować pełnym przejęciem kontroli nad urządzeniem i naruszeniem bezpieczeństwa sieci.

Należy zaktualizować oprogramowanie urządzeń do wersji: NE40E i CX600 do V800R007SPH017 lub nowszej; PTN 6900-2-M8 do V800R007SPH019 lub nowszej; NE5000E do V800R006SPH018 lub nowszej; CloudEngine 12800 do V100R003SPH010 lub nowszej (gałąź V100R003), oraz do V100R005SPH006 lub nowszej (gałąź V100R005). Dodatkowo należy ograniczyć dostęp do płaszczyzny sterowania (control plane) wyłącznie do zaufanych hostów.

Huawei NE40E i CX600 z oprogramowaniem przed V800R007SPH017; Huawei PTN 6900-2-M8 z oprogramowaniem przed V800R007SPH019; Huawei NE5000E z oprogramowaniem przed V800R006SPH018; Huawei CloudEngine 12800 z oprogramowaniem przed V100R003SPH010 oraz w gałęzi V100R005 przed V100R005SPH006

Biuletyn bezpieczeństwa Huawei opublikowany 13 lipca 2016 r. (huawei-sa-20160713-01-multicast-ldp-fec-stack) wskazuje, że podatność dotyczy przetwarzania pakietów multicast LDP FEC. Warunkiem wstępnym wykorzystania podatności jest posiadanie dostępu do płaszczyzny sterowania urządzenia, co ogranicza powierzchnię ataku.