O Forescout Vedere Labs destacou recentemente o aspecto negligenciado da segurança do BGP – vulnerabilidades de implementação de software.
FRRouting’s Mensagem BGP a análise de vulnerabilidades descobertas pelo Forescout Vedere Labs pode permitir que invasores acionem um estado DoS em pares BGP suscetíveis.
Os principais fornecedores de redes dependem de pacotes de software que implementam BGP, que são amplamente utilizados online.
O que é BGP?
O principal protocolo de roteamento da Internet é o BGP, e grandes data centers frequentemente usam BGP para roteamento de tráfego interno, enquanto extensões BGP como MP-BGP são amplamente implementadas para VPNs MPLS L3.
As organizações devem evitar depender apenas de seus Provedores de Serviços de Internet (ISPs) para garantir a segurança do BGP. Parece que os invasores ainda podem explorar vulnerabilidades facilmente acessíveis nas implementações atuais do BGP.
Ao permitir a troca de informações de roteamento e acessibilidade, o BGP facilita a interação de sistemas autônomos (ASes), que são conjuntos de endereços IP alugados alocados a organizações por registradores por um período específico.
Uma falha no BGP pode tornar um AS inacessível, pois outros não conseguem rotear pacotes. Um agente de ameaça pode abusar de uma configuração de BGP para redirecionar o tráfego de rede em uma direção não intencional.
Vulnerabilidades
Um análise foi realizada por analistas de segurança usando métodos de análise manual e técnicas de difusão para avaliar as seguintes sete implementações populares de BGP:-
- FRRouting (código aberto)
- PÁSSARO (código aberto)
- OpenBGPd (código aberto)
- Mikrotik RouterOS (código fechado)
- Juniper JunOS (código fechado)
- Cisco IOS (código fechado)
- Arista EOS (código fechado)
Analistas descobriram três vulnerabilidades até então desconhecidas na versão Free Range Routing (FRRouting) 8.4lançado em 7 de novembro de 2022.
Abaixo, mencionamos o perfil completo das vulnerabilidades detectadas: –
- ID do CVE: CVE-2022-40302
- Descrição: leitura fora dos limites ao processar uma mensagem BGP OPEN malformada com uma opção de comprimento de parâmetros opcionais estendidos.
- CVSSv3.1: 6.5
- Impacto potencial: DoS
- ID do CVE: CVE-2022-40318
- Descrição: leitura fora dos limites ao processar uma mensagem BGP OPEN malformada com uma opção de comprimento de parâmetros opcionais estendidos. Este é um problema diferente do CVE-2022-40302.
- CVSSv3.1: 6.5
- Impacto potencial: DoS
- ID do CVE: CVE-2022-43681
- Descrição: Leitura fora dos limites ao processar uma mensagem BGP OPEN malformada que termina abruptamente com o octeto de comprimento de opção (ou a palavra de comprimento de opção, no caso de mensagem OPEN com comprimentos de opção estendidos).
- CVSSv3.1: 6.5
- Impacto potencial: DoS
Em 2016, o FRRouting foi criado por desenvolvedores de várias organizações comerciais por meio do fork do Quagga, outro projeto de código aberto. O FRRouting agora é empregado por grandes fornecedores, incluindo nVidia Cumulus, e utilizado por grandes organizações como:-
- PayPal
- Yahoo
- Polícia Nacional Holandesa
Embora, além disso, Amazon suporta DENT e a Microsoft suporta SONiC, que é empregado em alguns roteadores da Juniper.
No caso de envio repetido de pacotes malformados, a condição DoS pode durar indefinidamente. Quase 1.000 dos 330.000 hosts habilitados para Internet com BGP habilitado para responder a mensagens BGP OPEN não convidadas.
Deve-se notar que a maioria dos hosts BGP reside nos seguintes países:-
- China (perto de 100.000)
- Os EUA (50.000)
- Reino Unido (16.000)
Uma nova ferramenta de código aberto foi lançada (https://github.com/Forescout/bgp_boofuzzer/) por pesquisadores de segurança cibernética para que as organizações avaliem a segurança de seus pacotes BGP usados internamente. Além disso, esta ferramenta pode ser usada para descobrir novas vulnerabilidades em implementações de BGP por pesquisadores de segurança cibernética.
Existem vários scripts disponíveis com a ferramenta para demonstrar como ela pode ser usada para testar as vulnerabilidades encontradas e testar os casos conceituais para:-
- BGP ABERTO
- ATUALIZAR
- ATUALIZAÇÃO DE ROTA
- Mensagens de NOTIFICAÇÃO
Recomendação
A aplicação frequente de patches em dispositivos de infraestrutura de rede é a recomendação mais eficaz para minimizar os riscos associados a implementações vulneráveis de BGP, como as descobertas no FRRouting.
Manter um inventário de ativos atualizado que monitore os dispositivos de rede e as versões de software em execução neles é crucial para atingir esse objetivo.
