受影响系统：

Cisco Catalyst 6500

Cisco 7600

描述：

--------------------------------------------------------------------------------

BUGTRAQ ID: 25822

Cisco Catalyst是一系列由Cisco公司发表和维护的商业级别交换机。

Catalyst 6500和Cisco 7600系列设备在处理环回地址时存在漏洞，远程攻击者可能利用此绕过某些验证获得非授权访问。

Catalyst 6500和Cisco 7600系列设备使用以太网带外信道（EOBC）中127.0.0.0/8（环回）范围的地址进行内部通讯，可以从系统外部访问EOBC中所使用的这个范围的地址。Supervisor模块、多层交换功能卡（MSFC）或任何其他智能模块可能接受并处理目标为127.0.0.0/8网络的报文，攻击者可以利用这种行为绕过没有过滤127.0.0.0/8地址范围的访问控制列表，但无法绕过认证或授权。

<*来源：Lee E. Rian

链接：http://www.cisco.com/warp/public/707/cisco-sr-20070926-lb.shtml

http://secunia.com/advisories/26988/

*>

建议：

--------------------------------------------------------------------------------

临时解决方法：

* 应用访问控制列表过滤到127.0.0.0/8地址范围的报文：

ip access-list extended block_loopback
  deny   ip any 127.0.0.0 0.255.255.255
  permit ip any any

interface Vlan x
ip access-group block_loopback in

* 应用以下控制面整型（CoPP）：

!-- Permit all traffic with a destination IP
!-- addresses in the 127.0.0.0/8 address range sent to
!-- the affected device so that it will be policed and
!-- dropped by the CoPP feature
!

access-list 111 permit icmp any 127.0.0.0 0.255.255.255
access-list 111 permit udp any 127.0.0.0 0.255.255.255
access-list 111 permit tcp any 127.0.0.0 0.255.255.255
access-list 111 permit ip any 127.0.0.0 0.255.255.255

!
!-- Permit (Police or Drop)/Deny (Allow) all other Layer3
!-- and Layer4 traffic in accordance with existing security
!-- policies and configurations for traffic that is authorized
!-- to be sent to infrastructure devices
!
!-- Create a Class-Map for traffic to be policed by the
!-- CoPP feature
!

class-map match-all drop-127/8-netblock-class
  match access-group 111

!
!-- Create a Policy-Map that will be applied to the
!-- Control-Plane of the device.
!

policy-map drop-127/8-netblock-traffic
  class drop-127/8-netblock-class
    police 32000 1500 1500 conform-action drop exceed-action drop

!
!-- Apply the Policy-Map to the Control-Plane of the
!-- device
!

control-plane
  service-policy input drop-127/8-netblock-traffic

!
 

厂商补丁：

Cisco

-----

目前厂商还没有提供补丁或者升级程序，我们建议使用此软件的用户随时关注厂商的主页以获取最新版本：

http://www.cisco.com/warp/public/707/advisory.html

(责任编辑：李磊)