🇰🇷 한글 설명
Cisco ASA CX Context-Aware Security 모듈의 IP fragment 처리 취약점으로, 조작된 fragmented IP traffic을 전송하여 shared memory의 packet buffer를 고갈시킬 수 있습니다. 이로 인해 CX 모듈이 추가 트래픽을 처리하지 못하는 DoS 상태에 빠집니다. Cisco는 패치를 제공하지 않으며 workaround도 없습니다.
💡 쉬운 설명
Cisco ASA 보안 장비의 일부 모듈이 인터넷 데이터 조각을 잘못 처리하여, 공격자가 특수한 데이터를 보내면 장비가 먹통이 되는 문제입니다. 제조사가 고칠 수 없어서 영구적인 취약점입니다.
🇺🇸 원문 (English)
A vulnerability in the data plane IP fragment handler of the Cisco Adaptive Security Appliance (ASA) CX Context-Aware Security module could allow an unauthenticated, remote attacker to cause the CX module to be unable to process further traffic, resulting in a denial of service (DoS) condition. The vulnerability is due to improper handling of IP fragments. An attacker could exploit this vulnerability by sending crafted fragmented IP traffic across the CX module. An exploit could allow the attacker to exhaust free packet buffers in shared memory (SHM), causing the CX module to be unable to process further traffic, resulting in a DoS condition. This vulnerability affects all versions of the ASA CX Context-Aware Security module. Cisco has not released and will not release software updates that address this vulnerability. There are no workarounds that address this vulnerability. Cisco Bug IDs: CSCva62946.
📍 영향받는 시스템
Cisco ASA CX Context-Aware Security module 모든 버전
⚔️ 공격 벡터
원격에서 조작된 IP fragment 트래픽을 전송하여 shared memory buffer 고갈
🛡️ 대응 방법
하드웨어 교체 또는 Cisco ASA CX 모듈 비활성화 (공식 패치/workaround 없음)
🔧 검증 코드
SNMP를 통해 Cisco ASA 버전을 조회하여 CX 모듈 포함 여부 확인; 결과에 ASA/Cisco 문자열이 있으면 해당 시스템에서 영향 가능성 검토 필요
snmpget -v2c -c public 127.0.0.1 1.3.6.1.4.1.9.9.46.1.1.1.0 2>/dev/null | grep -iE 'asa|cisco'
📊 CVSS Vector String
CVSS:3.0/AV:N/AC:L/PR:N/UI:N/S:C/C:N/I:N/A:H
💻 영향받는 소프트웨어
Cisco Email Security Appliance