Spośród 22 podatności załatanych w marcu przez firmę Cisco na szczególną uwagę zasługuje błąd CVE-2018-0171 w urządzeniach działających pod kontrolą systemów IOS oraz IOS XE. Luka występuje w usłudze Smart Install, która pozwala na automatyczną konfigurację switchy podpinanych do sieci. Jednym ze sposobów wykorzystania tej luki jest atak odmowy dostępu do usługi (DoS, ang. Denial of Service). W tym celu wystarczy wysłać odpowiednio spreparowany pakiet danych za pośrednictwem portu TCP 4786. Potencjalny atakujący może to zrobić zdalnie i bez uwierzytelnienia. Co gorsza, przepełnienie bufora w urządzeniu ofiary może skutkować wykonaniem dowolnego kodu. Na atak podatne są systemy operacyjne IOS oraz IOS XE z włączoną funkcją klienta Smart Install. Luka nie dotyczy oprogramowania IOS XR oraz NX-OS.
Ryzyko duże: Poziom ważności luki został oceniony jako 9.8 w skali CVSS (Common Vulnerability Scoring System).
Działania krótkoterminowe: Aktualizacja podatnego oprogramowania do najnowszej wersji, w której lukę usunięto.
Źródło: https://tools.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-20180328-smi2
