L'équipe Vigil@nce veille les vulnérabilités publiques qui affectent votre parc informatique, puis propose des correctifs sécurité, une base et des outils pour y remédier.

annonce de vulnérabilité informatique 8437

BGP : déni de service via AS4_PATH

Synthèse de la vulnérabilité

Un attaquant peut employer l'attribut AS4_PATH afin de stopper les sessions des démons bgpd.
Logiciels vulnérables : Juniper E-Series, JUNOSe, OpenBSD, BGP (protocole).
Gravité de cette annonce : 2/4.
Conséquences d'une intrusion : déni de service du service.
Origine de l'attaquant : client internet.
Date création : 02/02/2009.
Références de cette vulnérabilité informatique : BID-33553, CQ 88706, PSN-2008-12-130, VIGILANCE-VUL-8437.

Description de la vulnérabilité

La RFC 4893 étend le protocole BGP pour qu'il supporte les ASN (Autonomous System Number) sur 4 octets, au lieu de 2 octets. Les attributs AS4_PATH et AS4_AGGREGATOR peuvent contenir des ASN sur 4 octets.

Une confédération d'AS (RFC 3065) est une collection d'AS identifiée avec un seul ASN.

Selon la RFC 4893 l'attribut AS4_PATH ne peut pas contenir de path de confédération. La RFC n'indique pas clairement comment gérer ce cas d'erreur. Certains démons bgpd terminent alors la session.

De plus, un message UPDATE avec un attribut AS4_PATH illicite peut traverser de nombreux routeurs ne supportant pas AS4_PATH avant d'arriver sur un routeur implémentant la RFC.

Un attaquant peut donc envoyer un message UPDATE avec un attribut AS4_PATH illicite afin de mener un déni de service sur des routeurs distants.
Bulletin Vigil@nce complet... (Essai gratuit)

Service de veille sur les vulnérabilités informatiques

Vigil@nce fournit des avis de vulnérabilité de réseau. Le service de veille sur les vulnérabilités informatiques Vigil@nce alerte vos équipes des failles et des menaces qui concernent votre système d'information. La base de vulnérabilités Vigil@nce contient plusieurs milliers de failles. La veille sécurité Vigil@nce publie des bulletins de vulnérabilités pour les failles qui impactent le système d'information.