Schwachstellen in Ciscos Routing-Protokoll EIGRP

Cisco hat ein Advisory veröffentlicht, in dem mehrere Workarounds zu den kürzlich veröffentlichten Schwachstellen in EIGRP (Enhanced Interior Gateway Routing Protocol) – Ciscos proprietärem Routing-Protokoll – beschrieben sind. Die Schwachstellen wurden während einer Evaluierung des von IOS unterstützten Protokolls durch den Dienstleister Arhont Ltd. aufgedeckt.

Demnach lassen sich bestimmte EIGRP-Nachrichten für Denial-of-Service-Attacken ausnutzen. So signalisiert etwa ein Router seinen Nachbarn mit einer "Goodbye Message", dass er seinen Routing-Prozess runterfährt. Durch diesen geordneten Rückzug können die verbleibenden Router die Konvergenz der neuen Topolgie schneller durchführen. Allerdings fehlt hier in der Standardkonfiguration jegliche Authentifizierung oder Authentisierung. Ein Angreifer kann mit derlei gefälschten Goodby-Nachrichten und gespoofter IP-Adresse das Netz durcheinander bringen.

Aber auch mit Authentisierung sind die Cisco-Router nicht gänzlich vor Angriffen gefeit. So nutzt Cisco zur Authentisierung sogenannter EIGRP-Hello-Update-Pakete den Hash-Algorithmus MD5, der zwar die Integrität eines Paketes sichert, aber keinerlei Funktionen zum Verhindern von Replay-Attacken aufweist. So kann ein Angreifer mitgeschnittene Update-Pakete wiedereinspielen und damit einen Router aus dem Tritt bringen. Zudem lassen sich über die Reaktionen des angegriffenen Routers auch Informationen über das Routing in der Domäne sammeln. Für einen derartigen Angriff ist aber der Zugriff auf die Infrastruktur erforderlich.

Abhilfe schafft laut Cisco unter anderem die Konfiguration statischer EIGRP Neighbors, Anti-Spoofing-Maßnahmen, 802.1x-Port-Security und MD5 Neighbor Authentication. Einzelheiten zu den Workarounds und deren Konfigurationen sind im Original-Advisory zu finden.

Siehe dazu auch: (dab)

• Multiple Vulnerabilities within Cisco EIGRP, Advisory von Cisco