The vulnerability described in this article was initially fixed in earlier versions, but a regression was reintroduced in BIG-IP 12.x through13.x. For information about earlier versions, refer toK4583:
Insufficient validation of ICMP error messages - VU#222750 / CVE-2004-0790(9.x - 10.x).

Multiple TCP/IP and ICMP implementations allow remote attackers to cause a denial of service (reset TCP connections) via spoofed ICMP error messages, aka the 'blind connection-reset attack.' NOTE:
CVE-2004-0790, CVE-2004-0791, and CVE-2004-1060 have been SPLIT based on different attacks; CVE-2005-0065, CVE-2005-0066, CVE-2005-0067, and CVE-2005-0068 are related identifiers that are SPLIT based on the underlying vulnerability. While CVE normally SPLITs based on vulnerability, the attack-based identifiers exist due to the variety and number of affected implementations and solutions that address the attacks instead of the underlying vulnerabilities. (CVE-2004-0790)

Impact

A remote attacker can interfere with the Path MTU Discovery process and cause a performance degradation or reset of FastL4 accelerated TCP connections by spoofing a specifically craftedInternet Control Message Protocol (ICMP) message.

This vulnerability only applies to FastL4 virtual servers on BIG-IP platforms with the embedded Packet Velocity Acceleration (ePVA) chip.The ePVA chip is a hardware acceleration Field Programmable Gate Array (FPGA) that delivers high-performance Layer 4 (L4) IPv4 throughput. ePVA chips are included on the following BIG-IP platforms :

B2100 Blade in the VIPRION C2400 or C2200 Chassis

B2150 Blade in the VIPRION C2400 or C2200 Chassis

B2250 Blade in the VIPRION C2400 or C2200 Chassis

B4300 Blade in the VIPRION C4480 or C4800 Chassis

B4340 Blade in the VIPRION C4480 or C4800 Chassis

BIG-IP 12000 series

BIG-IP 10000 series

BIG-IP 7000 series

BIG-IP 5000 series

BIG-IP i5000 series

BIG-IP i7000 series

BIG-IP i10000 series

本文所述弱點在之前版本中已獲得初步解決，但在 13.x 之前的 BIG-IP 12.x 版中發生迴歸。如需之前版本的相關資訊，請參閱 K4583：ICMP 錯誤訊息的驗證不足 - VU#222750 / CVE-2004-0790(9.x - 10.x)。多個 TCP/IP 和 ICMP 實作允許遠端攻擊者藉由偽造 ICMP 錯誤訊息，造成拒絕服務 (重設 TCP 連線)，此種攻擊又稱為「盲目式連線重設攻擊」。注意：根據攻擊形態的不同，分為 CVE-2004-0790、CVE-2004-0791 和 CVE-2004-1060；CVE-2005-0065、CVE-2005-0066、CVE-2005-0067 和 CVE-2005-0068 的識別碼有關聯性，根據潛在弱點的不同而有所劃分。雖然 CVE 通常根據弱點來劃分，但由於受影響實作和用來解決攻擊 (而非潛在弱點) 之解決方案的種類與數量各異，亦有根據攻擊來劃分的識別碼。(CVE-2004-0790) 影響：遠端攻擊者可能藉由偽造特製的網際網路控制訊息通訊協定 (ICMP) 訊息來干擾 Path MTU Discovery 處理程序，造成效能降低或重設 FastL4 加快的 TCP 連線。此弱點僅發生在有嵌入式封包加速 (ePVA) 晶片之 BIG-IP 平台上的 FastL4 虛擬伺服器上。ePVA 晶片是一種硬體加速可現場程式化閘道陣列 (FPGA)，可提供高效第 4 層 (L4) IPv4 輸送量。下列 BIG-IP 平台皆附 ePVA 晶片：VIPRION C2400 或 C2200 Chassis 的 B2100 Blade VIPRION C2400 或 C2200 Chassis 的 B2150 Blade VIPRION C2400 或 C2200 Chassis 的 B2250 Blade VIPRION C4480 或 C4800 Chassis 的 B4300 Blade VIPRION C4480 或 C4800 Chassis 的 B4340 Blade BIG-IP 12000 系列、BIG-IP 10000 系列、BIG-IP 7000 系列、BIG-IP 5000 系列、BIG-IP i5000 系列、BIG-IP i7000 系列、BIG-IP i10000 系列

本文描述的漏洞曾于旧版本中修复，但 BIG-IP 12.x 至 13.x 版本中重新引入了此回归。如需旧版本的相关信息，请参阅 K4583：未充分验证 ICMP 错误消息 - VU#222750 / CVE-2004-0790(9.x - 10.x)。多个 TCP/IP 和 ICMP 实现可让远程攻击者通过伪造的 ICMP 错误消息造成拒绝服务（重置 TCP 连接），又称为“盲连接重置攻击”。注意：CVE-2004-0790、CVE-2004-0791 和 CVE-2004-1060 已根据不同的攻击方式进行了拆分；CVE-2005-0065、CVE-2005-0066、CVE-2005-0067 和 CVE-2005-0068 是互相关联的标识符，根据潜在漏洞进行了拆分。虽然 CVE 通常根据漏洞进行拆分，但鉴于受影响的实现和应对攻击的解决方案的多样性和数量，也存在根据攻击方式代替潜在漏洞拆分的标识符。(CVE-2004-0790) 影响 远程攻击者可通过伪造特制的 Internet 控制消息协议 (ICMP) 消息来干扰路径 MTU 发现进程，从而造成 FastL4 加速的 TCP 连接性能下降或重置。此漏洞仅适用于 BIG-IP 平台上带有嵌入式数据包速度加速 (ePVA) 芯片的 FastL4 虚拟服务器。ePVA 芯片是一种硬件加速的现场可编程门阵列 (FPGA)，可实现高性能第 4 层 (L4) IPv4 吞吐量。下列 BIG-IP 平台中包含 ePVA 芯片：VIPRION C2400 或 C2200 Chassis 中的 B2100 Blade、VIPRION C2400 或 C2200 Chassis 中的 B2150 Blade、VIPRION C2400 或 C2200 Chassis 中的 B2250 Blade、VIPRION C4480 或 C4800 Chassis 中的 B4300 Blade、VIPRION C4480 或 C4800 Chassis 中的 B4340 Blade、BIG-IP 12000 系列、BIG-IP 10000 系列、BIG-IP 7000 系列、BIG-IP 5000 系列、BIG-IP i5000 系列、BIG-IP i7000 系列、BIG-IP i10000 系列

远程主机运行的 Windows 版本在其 TCP/IP 堆栈中有缺陷。

该缺陷可允许攻击者在远程主机上以 SYSTEM 权限执行任意代码，或对远程主机执行服务拒绝攻击。

可以使用概念验证代码对易受攻击的系统执行服务拒绝。

The remote host runs a version of Windows that has a flaw in its TCP/IP stack.

The flaw could allow an attacker to execute arbitrary code with SYSTEM privileges on the remote host, or to perform a denial of service attack against the remote host.

Proof of concept code is available to perform a Denial of Service against a vulnerable system.

A document that describes how the Internet Control Message Protocol (ICMP) could be used to perform a number of Denial of Service (DoS) attacks against the Transmission Control Protocol (TCP) has been made publicly available. This document has been published through the Internet Engineering Task Force (IETF) Internet Draft process, and is entitled "ICMP Attacks Against TCP" (draft-gont-tcpm-icmp-attacks-03.txt ).
These attacks, which only affect sessions terminating or originating on a device itself, can be of three types:
Successful attacks may cause connection resets or reduction of throughput in existing connections, depending on the attack type.
Multiple Cisco products are affected by the attacks described in this Internet draft.
Cisco has made free software available to address these vulnerabilities. In some cases there are workarounds available to mitigate the effects of the vulnerability.

リモートホストは、TCP/IP スタックに欠陥があるバージョンの Windows を実行しています。

この欠陥によって攻撃者は、リモートホストでシステム権限を使って任意のコードを実行すること、またはリモートホストに対してサービス拒否攻撃を実行することができる場合があります。

概念実証コードは、脆弱なシステムに対してサービス拒否を実行するために使用できます。

Internet Control Message Protocol（ICMP）を使用して制御転送プロトコル（TCP）に対して多数のサービス拒否（DoS）攻撃を行う方法について説明されたドキュメントが一般に利用可能です。このドキュメントは、Internet Engineering Task Force（IETF）インターネットドラフトプロセスを通して公開され、「ICMP Attacks Against TCP」というタイトルが付いています（draft-gont-tcpm-icmp-attacks-03.txt）。
デバイス自体で終了または発信しているセッションにのみ影響を与えるこれらの攻撃は、3 つのタイプに分けられます：
攻撃が成功した場合、攻撃のタイプによっては、接続のリセットまたは既存の接続におけるスループットの低減が発生することがあります。
複数の Cisco 製品が、このインターネットドラフトで説明されている攻撃による影響を受けます。
Cisco では、これらの脆弱性に対処する無料のソフトウェアをリリースしています。この脆弱性の影響を緩和するための回避策が利用可能な場合もあります。

ID	名稱	產品	系列	已發布	已更新	嚴重性
100000	F5 Networks BIG-IP : Insufficient validation of ICMP error messages (K23440942)	Nessus	F5 Networks Local Security Checks	2017/5/8	2019/5/9	critical
100000	F5 網路 BIG-IP：ICMP 錯誤訊息的驗證不足 (K23440942)	Nessus	F5 Networks Local Security Checks	2017/5/8	2019/5/9	critical
100000	F5 网络 BIG-IP：未充分验证 ICMP 错误消息 (K23440942)	Nessus	F5 Networks Local Security Checks	2017/5/8	2019/5/9	critical
18023	MS05-019：TCP/IP 中的漏洞可允许远程代码执行 (893066)	Nessus	Windows : Microsoft Bulletins	2005/4/12	2018/11/15	high
18023	MS05-019: Vulnerabilities in TCP/IP Could Allow Remote Code Execution (893066)	Nessus	Windows : Microsoft Bulletins	2005/4/12	2018/11/15	high
48985	Crafted ICMP Messages Can Cause Denial of Service - Cisco Systems	Nessus	CISCO	2010/9/1	2018/11/15	medium
18023	MS05-019：TCP/IP の脆弱性により、リモートコードを実行できることがあります（893066）	Nessus	Windows : Microsoft Bulletins	2005/4/12	2018/11/15	high
48985	細工された ICMP メッセージによるサービス拒否の可能性 - Cisco System	Nessus	CISCO	2010/9/1	2018/11/15	medium

偵測

搜尋 Plugin

critical

critical

critical

high

high

medium

high

medium