CVE-2022-29606

ONOS: Nieprawidłowa obsługa dużych numerów portów w mechanizmie Intent

CVSS 9.8v3.1pub. 2023-04-20upd. 2025-02-05

W systemie ONOS 2.5.1 wykryto błąd polegający na nieprawidłowej obsłudze intent zawierających duże numery portów, co prowadzi do stanu CORRUPT i niespójności w regułach sieciowych. Podatność posiada ocenę CVSS 9.8, co klasyfikuje ją jako krytyczną.

▸ Pokaż oryginał (EN)

An issue was discovered in ONOS 2.5.1. An intent with a large port number shows the CORRUPT state, which is misleading to a network operator. Improper handling of such port numbers causes inconsistency between intent and flow rules in the network.

🤖 Analiza AI

Jak działa

Gdy intent (zamiar sieciowy) zawiera duży numer portu, system ONOS nieprawidłowo go przetwarza i wyświetla stan CORRUPT, który jest mylący dla operatora sieci. Wadliwa walidacja danych wejściowych (CWE-20) powoduje niespójność między zdefiniowanym intent a faktycznie wdrożonymi regułami przepływu (flow rules) w sieci. W rezultacie rzeczywiste zachowanie sieci może odbiegać od zamierzonego przez operatora.

Skutki

Atakujący może doprowadzić do niespójności między regułami sieciowymi a zamierzonym stanem sieci, potencjalnie manipulując ruchem sieciowym lub powodując nieprawidłowe działanie infrastruktury zarządzanej przez ONOS. Wysoki wpływ na poufność, integralność i dostępność wskazuje na możliwość poważnego naruszenia bezpieczeństwa sieci.

Mitygacja

Należy zastosować patche dostępne u producenta zgodnie z referencjami. Zaleca się również monitorowanie stanów intent w systemie ONOS pod kątem nieoczekiwanych wartości CORRUPT oraz ograniczenie dostępu do interfejsu zarządzania ONOS wyłącznie do zaufanych administratorów.

Kogo dotyczy

ONOS (Open Network Operating System) w wersji 2.5.1.

Uwagi

Podatność została opisana w publikacji naukowej prezentowanej na konferencji USENIX Security (prepublikacja: sec23fall-prepub-285_kim-jiwon.pdf). Dotyczy mechanizmu Intent Framework w ONOS.