Apparecchiature di rete aziendali vulnerabili al cuore


14

Il 09/04/2014 la vulnerabilità di The Heartbleed è stata rivelata dal team OpenSSL .

Heartbleed Bug è una grave vulnerabilità nella famosa libreria di software crittografico OpenSSL. Questa debolezza consente di rubare le informazioni protette, in condizioni normali, dalla crittografia SSL / TLS utilizzata per proteggere Internet.

È possibile creare un elenco di dispositivi di rete aziendali vulnerabili al cuore ?


1
Naturalmente qualcosa nel vasto oceano dei sistemi di rete incorporati utilizzava le librerie vulnerabili di openssl; tuttavia, qual è l'obiettivo della tua domanda? Vuoi creare un elenco di dispositivi vulnerabili? Se è così, per favore trasformalo in un wiki della comunità ... nella maggior parte dei casi lo considero un sondaggio; tuttavia, una mod su un altro sito mi ha dato l'idea della community wiki per questo tipo di elenchi illimitati, ma oggettivamente verificabili ... questa domanda sembra adattarsi. Possiamo aggiungere una risposta per elencare tutti i dispositivi. Se il tuo obiettivo non è elencare tutti i dispositivi vulnerabili, chiarisci le tue intenzioni
Mike Pennington,

1
Abbiamo anche avviato un elenco alternativo qui: docs.google.com/spreadsheets/d/…
Josh Brower

Risposte:


13

Come per ogni nuova vulnerabilità, i suoi impatti sono di vasta portata. I dispositivi di infrastruttura non sono diversi. La maggior parte di essi include pacchetti OpenSSL vulnerabili.

È quasi impossibile compilare un elenco di ogni prodotto vulnerabile 1 , poiché influisce su tutto ciò che include le librerie OpenSSL costruite con l' implementazione heartbeat originale OpenSSL TLS fino a quando la patch heartble non è stata assegnata al ramo stabile OpenSSL ; tuttavia, possiamo elencare i prodotti dei principali fornitori qui.


Questa è una wiki della community, sentiti libero di contribuire.


aruba

  • ArubaOS 6.3.x, 6.4.x
  • ClearPass 6.1.x, 6.2.x, 6.3.x
  • Le versioni precedenti di questi prodotti utilizzavano una versione precedente di OpenSSL che non è vulnerabile .

Vulnerabilità della libreria OpenSSL 1.0.1 (Heartbleed).

Reti di checkpoint

SK 100173 afferma che i prodotti Checkpoint non sono vulnerabili.

Cisco

I seguenti prodotti Cisco sono interessati da questa vulnerabilità:

  • Cisco AnyConnect Secure Mobility Client per iOS [CSCuo17488]
  • Esperienza di collaborazione desktop Cisco DX650
  • Telefoni IP Cisco Unified serie 7800
  • Telefono IP di Cisco Unified 8961
  • Telefono IP di Cisco Unified 9951
  • Telefono IP Cisco Unified 9971
  • Cisco IOS XE [CSCuo19730]
  • Cisco Unified Communications Manager (UCM) 10.0
  • Cisco Universal Small Cell serie 5000 con software V3.4.2.x.
  • Cisco Universal Small Cell serie 7000 con software V3.4.2.x.
  • File system root di ripristino di fabbrica Small Cell V2.99.4 o successivo
  • Switch di accesso Ethernet Cisco MS200X
  • Cisco Mobility Service Engine (MSE)
  • Cisco TelePresence Video Communication Server (VCS) [CSCuo16472]
  • Cisco TelePresence Conductor
  • Cisco TelePresence Supervisor MSE 8050
  • Cisco TelePresence Server 8710, 7010
  • Cisco TelePresence Server su supporti multiparty 310, 320
  • Cisco TelePresence Server su macchina virtuale
  • Gateway Cisco TelePresence ISDN serie 8321 e 3201
  • Serie Cisco TelePresence Serial Gateway
  • Cisco TelePresence IP Gateway Series
  • Cisco WebEx Meetings Server versione 2.x [CSCuo17528]
  • Cisco Security Manager [CSCuo19265]

Cisco Security Advisory - Vulnerabilità legata all'estensione del battito cardiaco OpenSSL in più prodotti Cisco

D-Link

Dal 15 aprile 2014 D-Link non ha prodotti vulnerabili.

Risposta agli incidenti di sicurezza per dispositivi e servizi D-Link

FortiGate

  • FortiGate (FortiOS) 5.x
  • FortiAuthenticator 3.x
  • FortiMail 5.x
  • FortiVoice
  • FortiRecorder
  • Modelli D-Series FortiADC 1500D, 2000D e 4000D
  • FortiADC Serie E 3.x
  • Equalizzatore del punto di coyote GX / LX 10.x

Vulnerabilità legata alla divulgazione di informazioni in OpenSSL

F5

A partire dal 10 aprile 2014 i seguenti prodotti / release F5 sono noti per essere vulnerabili

  • Versioni BigIP LTM 11.5.0 - 11.5.1 (interfaccia Mgmt, cifrature SSL compatibili)
  • BigIP AAM Versioni 11.5.0 - 11.5.1 (Interfaccia Mgmt, cifrature SSL compatibili)
  • Versioni di BigIP AFM 11.5.0 - 11.5.1 (interfaccia Mgmt, cifrature SSL compatibili)
  • Versioni di BigIP Analytics 11.5.0 - 11.5.1 (interfaccia Mgmt, cifrature SSL compatibili)
  • Versioni BigIP APM 11.5.0 - 11.5.1 (interfaccia Mgmt, cifrature SSL compatibili)
  • Versioni BigIP ASM 11.5.0 - 11.5.1 (interfaccia Mgmt, cifrature SSL compatibili)
  • Versioni BigIP GTM 11.5.0 - 11.5.1 (Interfaccia Mgmt, cifrature SSL compatibili)
  • Versioni controller BigIP Link 11.5.0 - 11.5.1 (interfaccia Mgmt, cifre SSL compatibili)
  • Versioni BigIP PEM 11.5.0 - 11.5.1 (interfaccia Mgmt, cifrature SSL compatibili)
  • Versioni BigIP PSM 11.5.0 - 11.5.1 (interfaccia Mgmt, cifrature SSL compatibili)
  • Client Edge BIG-IP per Apple iOS versioni 1.0.5, 2.0.0 - 2.0.1 (VPN)
  • Client Edge BIG-IP per Linux Versioni 6035-7101 (VPN)
  • Client Edge BIG-IP per Mac OSX Versioni 6035-7101 (VPN)
  • Client Edge BIG-IP per Windows Versioni 6035-7101 (VPN)

F5 Networks SOL 15159 OpenSSL vulnerabilità CVE-2014-0160

HP

Dal 10 aprile

"Abbiamo stabilito che i prodotti che abbiamo esaminato non sono vulnerabili a causa dell'utilizzo di una versione di OpenSSL che non è vulnerabile o non utilizzano OpenSSL."

Comunicazione di rete HP: vulnerabilità di HeartBleed OpenSSL

Huawei

Dal 14 aprile

L'inchiesta è stata completata ed è confermato che alcuni prodotti Huawei sono interessati. Huawei ha preparato un piano di riparazione e ha iniziato lo sviluppo e il test delle versioni fisse. Huawei rilascerà una SA il prima possibile. Si prega di rimanere sintonizzati.

Dichiarazione di sicurezza sulla vulnerabilità dell'estensione heartbeat OpenSSL

Juniper

Prodotti vulnerabili

  • Junos OS 13.3R1
  • Client Odyssey 5.6r5 e versioni successive
  • SSL VPN (IVEOS) 7.4r1 e successive e SSL VPN (IVEOS) 8.0r1 e successive (il codice fisso è elencato nella sezione "Soluzione")
  • UAC 4.4r1 e versioni successive e UAC 5.0r1 e versioni successive (il codice fisso è elencato nella sezione "Soluzione")
  • Junos Pulse (Desktop) 5.0r1 e versioni successive e Junos Pulse (Desktop) 4.0r5 e versioni successive
  • Connessione di rete (solo Windows) da 7.4R5 a 7.4R9.1 e da 8.0R1 a 8.0R3.1. (Questo client è interessato solo se utilizzato in modalità FIPS.)
  • Junos Pulse (Mobile) su Android versione 4.2R1 e successive.
  • Junos Pulse (Mobile) su iOS versione 4.2R1 e successive. (Questo client è interessato solo se utilizzato in modalità FIPS.)

Juniper Knowledge Center - Bollettino di sicurezza fuori ciclo 2014-04: Più prodotti interessati dal problema "Heartbleed" di OpenSSL (CVE-2014-0160)

Reti Palo Alto

PAN-OS non è stato influenzato dal cuore


soluzioni alternative

Disabilita le risorse che utilizzano SSL, se puoi, e fai affidamento su SSH che, come ha commentato Mike Pennington, non è vulnerabile.


1 Questo elenco è stato preso il 10 aprile 2014, i venditori potrebbero ancora avere i loro prodotti sotto inchiesta. Questo elenco non è una linea guida per la vulnerabilità e serve solo a fornire al poster originale una comprensione dell'entità dell'impatto sulle apparecchiature di rete.


3
Cordiali saluti, OpenSSH non è vulnerabile al cuore . Anche i numeri degli spaventi sul cuore che colpiscono il 60% di Internet sono fasulli. Solo le librerie OpenSSL costruite negli ultimi due anni sono vulnerabili (in particolare quelle con questo commit heartbeat TLS ). Quel numero è decisamente inferiore al 60% di Internet.
Mike Pennington,

Modificato per riflettere tali informazioni. Grazie per il testa a testa. Supponevo che le informazioni fossero solo clic-esca, lo rimuoverò anch'io.
Ryan Foley,

Sai per caso quale versione di Cisco IOS XE è interessata?

@Phil se segui il link alla pagina di Cisco ci sarà un riferimento al bug con informazioni dettagliate.
radtrentasei,
Utilizzando il nostro sito, riconosci di aver letto e compreso le nostre Informativa sui cookie e Informativa sulla privacy.
Licensed under cc by-sa 3.0 with attribution required.