Cisco IOS 15.1(2)T 上的 TCP 阻絕攻擊弱點

如果您的 Cisco 路由器或是交換器的 IOS 版本是 "15.1(2)T", 而且暴露在 Internet 上, 本週末可能要盡快找時間更新IOS軟體.

只有 IOS 15.1(2)T 版本有這個問題.

針對這個弱點的阻絕式攻擊 (Denial of Service, DoS), 必須攻擊在路由器本身的 IP 位址上. 雖然官方的公告沒有明說, 我認為被攻擊的路由器會變得反應越來越遲鈍, 不太容易遠端管理, 甚至無預警地自動重開機. 網路在路由器重新開機的過程, 將停止服務.

有一些迴避這項弱點的設定調整, 也許可以不需要非更新 IOS 映像檔不可, 例如套用控制層的流量限速 (Control Plane Policing, CoPP). 不過我認為更新 IOS 然後重開機還是比較簡單而乾脆.

目前已包含弱點修復的 IOS 版本是 "15.1(2)T0a".

有關 "迴避本弱點設定" 或是 "如何確認系統有這個弱點" 等詳細資訊, 請參考官方網站的公告:

Cisco Security Advisory: Cisco IOS Software TCP Denial of Service Vulnerability� [Products & Services] - Cisco Systems