发布日期：2010-09-23
更新日期：2010-09-26

受影响系统：

Cisco IOS 15.1
Cisco IOS 15.0
Cisco IOS 12.4
Cisco IOS 12.3
Cisco IOS 12.2
Cisco IOS 12.1

描述：

---

CVE ID: CVE-2010-2831,CVE-2010-2832,CVE-2010-2833

Cisco IOS是Cisco网络设备上所使用的互联网操作系统。

Cisco IOS Software的NAT功能中存在三个拒绝服务漏洞，分别出现在翻译SIP报文、 H.323报文和H.323报文的H.225.0呼叫信标过程中。

SIP的NAT拒绝服务漏洞
+----------------------------

SIP的NAT使用UDP 5060端口或TCP 5060端口作为基础传输协议来翻译报文。仅可使用UDP 5060报文来利用这个漏洞。

H.323的NAT拒绝服务漏洞
+------------------------------

H.323的NAT翻译TCP 1720端口上的报文。NAT处理H.323报文的方式存在拒绝服务漏洞，无需完成TCP三重握手就可以利用这个漏洞。
  
H.225.0的NAT拒绝服务漏洞
+--------------------------------
  
H.225.0的NAT翻译TCP 1720端口上的报文。NAT翻译H.323报文的H.225.0呼叫信标过程中存在拒绝服务漏洞。

<*来源：Cisco
  
  链接：http://secunia.com/advisories/41539/
        http://www.cisco.com/warp/public/707/cisco-sa-20100922-nat.shtml
*>

建议：

---

临时解决方法：

* 使用no ip nat service udp port 5060全局配置命令禁用通过UDP传输的SIP的NAT，并通过no ip nat service h225全局配置命令禁止对H.323和H.225.0的NAT。

厂商补丁：

Cisco
-----
Cisco已经为此发布了一个安全公告（cisco-sa-20100922-nat）以及相应补丁:
cisco-sa-20100922-nat：Cisco IOS Software Network Address Translation Vulnerabilities
链接：http://www.cisco.com/warp/public/707/cisco-sa-20100922-nat.shtml

浏览次数：2525
严重程度：0（网友投票）