سیسکو یک آسیب‌پذیری منع سرویس (DoS) را پچ کرده است که به مهاجمان اجازه می‌داد با ارسال پیام آپدیت BGP، این پروتکل را در روترهای Cisco IOS XR متوقف کنند. سیستم‌عامل IOS XR روی روترهای حرفه ای سیسکو مانند سری‌های ASR 9000، NCS 5500 و 8000 استفاده می‌شود.
پروتکل BGP چیست؟
(BGP – Border Gateway Protocol) یکی از مهم‌ترین پروتکل‌های مسیریابی در اینترنت است که برای انتقال داده‌ها بین روترهای برون مرزی اینترنت با استفاده از شناسه (AS – Autonomous Systems) استفاده می‌شود. این پروتکل به روترهای اینترنتی اجازه می‌دهد تا اطلاعات مسیریابی را با یکدیگر تبادل کرده و بهترین مسیرها را برای انتقال داده‌ها انتخاب کنند.
یک AS مجموعه‌ای از آدرس‌های IP است که تحت سیاست‌های مسیریابی یکسانی کنترل می‌شوند. هر AS یک شماره سیستم (ASN – Autonomous System Number) دارد که برای شناسایی آن در اینترنت استفاده می‌شود.
درBGP، کنفدراسیون (Confederation) روشی است که برای مدیریت مقیاس‌پذیری مسیریابی در شبکه‌های بزرگ استفاده می‌شود. در این روش، یک AS بزرگ به چندین AS کوچکتر تقسیم می‌شود که همگی به‌عنوان یک AS واحد در اینترنت دیده می‌شوند.
AS_CONFED_SEQUENCE یک ویژگی در BGP است که دنباله‌ای از شماره‌های AS داخل یک Confederation را نگه می‌دارد. اگر تعداد این شماره‌ها بیش از حد مجاز (۲۵۵) شود، ممکن است باعث آسیب‌پذیری شود.
در این مقاله به یک آسیب پذیری با شدت بالا جدید که با شناسه CVE-2025-20115 ردیابی شده است، می‌پردازیم. این نقص، در پیاده‌سازی کنفدراسیون BGP کشف شده و فقط دستگاه‌هایی را تحت تأثیر قرار می‌دهد که این ویژگی در آن‌ها فعال باشد.
جزئیات آسیب پذیری CVE-2025-20115
این آسیب‌پذیری با امتیاز 8.6 در CVSS، به‌دلیل نقص در مدیریت حافظه هنگام پردازش ویژگی AS_CONFED_SEQUENCE با ۲۵۵ شماره AS رخ می‌دهد. مهاجم می‌تواند با ارسال یک پیام BGP ساختگی که حاوی این ویژگی با تعداد ASهای مذکور است، باعث خرابی فرآیند BGP در دستگاه شود.
نحوه‌ی سوء استفاده از آسیب‌پذیری CVE-2025-20115
مهاجمان می‌توانند از راه دور و بدون احراز هویت، دستگاه‌های آسیب‌پذیر را در حملاتی با پیچیدگی کم از کار بیندازند. سیسکو در گزارش امنیتی خود توضیح داده است که این آسیب‌پذیری به دلیل Memory Corruption هنگام پردازش یک پیام آپدیتBGP است که شامل ویژگی AS_CONFED_SEQUENCE با شماره سیستم خودمختار (ASN) ۲۵۵ می‌باشد. پیام‌های آپدیت BGP اطلاعات جدید مسیریابی را به همسایگان BGP ارسال می‌کنند. این پیام‌ها شامل مسیرهای جدید یا تغییرات در مسیرهای موجود هستند.
مهاجمان می‌توانند این نقص را از دو طریق بهره‌برداری کنند:
- شبکه به‌گونه‌ای طراحی شده باشد که ویژگی AS_CONFED_SEQUENCE به شماره (AS) ۲۵۵ یا بیشتر افزایش یابد.
- یا مهاجمان باید کنترل یک Confederation Speaker پروتکل BGP را در همان AS دستگاه(های) هدف در اختیار داشته باشند. Confederation Speaker به یک روتر درون یک کنفدراسیون BGP گفته می‌شود که پیام‌های BGP را با سایر اعضای همان کنفدراسیون رد و بدل می‌کند.
تیم پاسخ به حوادث سیسکو تأیید کرده است که تاکنون هیچ مدرکی مبنی بر سوء استفاده از این آسیب‌پذیری در حملات واقعی وجود ندارد.
نسخه‌های آسیب‌پذیر و اصلاح‌شده‌ی Cisco IOS XR
نسخه Cisco IOS XR | نسخه اصلاح‌شده |
7.11 و نسخه‌های قبل از آن | باید به نسخه‌ی اصلاح‌شده مهاجرت کنند |
24.1 و نسخه‌های قبل از آن | باید به نسخه‌ی اصلاح‌شده مهاجرت کنند |
24.2 | 24.2.21 (انتشار در آینده) |
24.3 | 24.3.1 |
24.4 | آسیب‌پذیر نیست |
راهکار موقت
راهکار موقت برای کاربرانی که امکان به‌روزرسانی فوری ندارند این است که می‌توانند مقدار ویژگی AS_CONFED_SEQUENCE در BGP را به ۲۵۴ یا کمتر محدود کنند تا از تأثیر حمله جلوگیری شود:
route-policy max-asns
if as-path length ge 254 then
drop
else
pass
endif
end-policy
router bgp 64500
bgp confederation peers
64501
64502
!
bgp confederation identifier 64511 neighbor 192.168.0.1
remote-as 64501
address-family ipv4 unicast
policy max-asns in
policy max-asns out
سیسکو اعلام کرده که این راهکار در محیط آزمایشی موفقیت‌آمیز بوده است، اما کاربران باید آن را بر اساس شرایط خاص شبکه‌ی خود ارزیابی کرده و بهترین راهکار را اقدام کنند. مشتریان باید آگاه باشند که هر راه‌حل موقت یا اقدامی برای کاهش خطر که اجرا شود، ممکن است بر عملکرد یا کارایی شبکه آن‌ها تأثیر منفی بگذارد. مشتریان نباید پیش از ارزیابی اولیه این راه‌حل‌ها در محیط خود و تأثیرات احتمالی بر آن، اقدام به پیاده‌سازی آن‌ها کنند.
نتیجه‌گیری
این آسیب‌پذیری نشان می‌دهد که چگونه یک پیام BGP دستکاری‌شده می‌تواند باعث از کار افتادن شبکه‌های سازمانی شود. کاربران Cisco IOS XR که از BGP استفاده می‌کنند، باید فوراً به‌روزرسانی‌های امنیتی را نصب کنند یا از راهکارهای موقت ارائه‌شده استفاده کنند تا از حملات احتمالی جلوگیری شود.
