BDU:2024-08364

Уязвимость компонента Routed PON Controller Software операционной системы Cisco IOS XR маршрутизаторов Cisco NCS 540 Series Routers, NCS 5500 Series Routers, NCS 5700 Series Routers существует из-за непринятия мер по нейтрализации специальных элементов, используемых в команде операционной системы. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, выполнить произвольные команды с привилегиями root

Установка обновлений из доверенных источников.
В связи со сложившейся обстановкой и введенными санкциями против Российской Федерации рекомендуется устанавливать обновления программного обеспечения только после оценки всех сопутствующих рисков.

После обновления до фиксированной версии программного обеспечения необходимо изменить конфигурацию в файле PonCntlInit.json , чтобы использовать связку ключей для хранения пароля MongoDB.
Инструкции по изменению конфигурации PonCntlInit.json
После обновления до фиксированной версии программного обеспечения замените поле пароля MongoDB в файле PonCntlInit.json на поле password_opts , как показано в следующем примере.
Перед изменением конфигурации поле пароля MongoDB будет выглядеть так, как показано в следующем примере:
"MongoDB": {
"auth_db": "tibit_users",
.
.
.
.
"password" : "MongoDBPassword" ,
.
.
}
После обновления до фиксированной версии программного обеспечения замените поле пароля MongoDB на поле password_opts , как показано в следующем примере:

"MongoDB": {
.
.
.
" password_opts ": {
"type": "keyring",
"keyring_path": "/etc/cisco/poncntl/keyring.data",
"keyring_key_path": "/etc/cisco/poncntl/keyring.key"
},
.
.
}
После редактирования файла PonCntlInit.json обновите конфигурацию программного обеспечения Cisco IOS XR, включив в нее пароль базы данных. После сохранения конфигурации пароль будет показан в зашифрованном формате при выполнении команды show running-config , как показано в следующем примере:

Router#conf t
Ср Сен 11 16:00:00.000 UTC
Router(config)#pon-ctlr
Router(config-ponctlr)# cfg-file /harddisk:/PonCntlInit.json db-password
Router(config-ponctlr)#end
RP/0/RP0/CPU0:Sep 11 16:00:00.000 UTC: config[67636]: %MGBL-SYS-5-CONFIG_I : Настроено с консоли администратором
Router# show running-config pon-ctlr
Wed Sep 11 16:00:00.000 UTC
pon-ctlr
cfg-file /harddisk:/PonCntlInit.json db-password 0525253C1E6E6925
!
Router#

Использование рекомендаций производителя:
https://sec.cloudapps.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-iosxr-ponctlr-ci-OHcHmsFL