Cisco PIX/ASA 口令过期VPN拒绝服务及认证绕过漏洞

目前厂商已经发布了升级补丁以修复这个安全问题，补丁下载链接：

临时解决方法：

绕过LDAP认证

* L2TP

对于配置为对L2TP over IPSec连接使用LDAP认证服务器的Cisco ASA或PIX设备，

配置设备使用PAP做为认证协议可以缓解这个漏洞。可参考以下示例：

ciscoasa# config t

ciscoasa(config)# tunnel-group l2tp_group ppp-attributes

ciscoasa(config-ppp)# authentication pap

ciscoasa(config-ppp)# no authentication ms-chap-v1

ciscoasa(config-ppp)# no authentication ms-chap-v2

ciscoasa(config-ppp)# no authentication chap

* 远程管理

通过本地数据库或LDAP服务器以外的AAA服务器认证远程管理会话的Cisco ASA或PIX

设备不受这个漏洞影响。

口令过期VPN拒绝服务

+---------------------------------------------

在使用无漏洞代码更新设备之前禁用远程访问用户口令过期可以防范这个漏洞，可

通过删除隧道组的通用属性中的口令管理项来实现，如下所示：

ciscoasa# config t

ciscoasa(config)# tunnel-group remote_access_group general-attributes

ciscoasa(config-tunnel-general)# no password-management

SSL VPN拒绝服务

+----------------------------

基于客户端的VPN不受影响，可替换无客户端的VPN连接。

厂商补丁：

Cisco

-----

Cisco已经为此发布了一个安全公告(cisco-sa-20070502-asa)以及相应补丁:

cisco-sa-20070502-asa：LDAP and VPN Vulnerabilities in PIX and ASA Appliances

链接：

http://www.cisco.com/warp/public/707/cisco-sa-20070502-asa.shtml

来源: BID

名称: 23768

链接:http://www.securityfocus.com/bid/23768

来源: VUPEN

名称: ADV-2007-1636

链接:http://www.frsirt.com/english/advisories/2007/1636

来源: CISCO

名称: 20070502 LDAP and VPN Vulnerabilities in PIX and ASA Appliances

链接: http://www.cisco.com/en/US/products/products_security_advisory09186a0080833166.shtml

来源: SECUNIA

名称: 25109

链接:http://secunia.com/advisories/25109

来源: XF

名称: cisco-asa-vpn-dos(34021)

链接:http://xforce.iss.net/xforce/xfdb/34021

来源: OSVDB

名称: 35332

链接:http://www.osvdb.org/35332