- UANOG - uanog.one

RE: Re: very serious cisco vulnerability
by Pavel Narozhniy 17 Jul '03

17 Jul '03

> -----Original Message----- > From: Dmitry Kohmanyuk Дмитрий Кохманюк [mailto:dk@farm.org] > Sent: Thursday, July 17, 2003 7:49 AM > To: uanog(a)uanog.kiev.ua > Subject: [uanog] Re: very serious cisco vulnerability > > > On Thu, Jul 17, 2003 at 07:09:49AM +0300, igor(a)ktts.kharkov.ua wrote: > > primerno 2.5 mesyatsa nazad my zakonchili ocherednoj > upgrade IOS vo vsej nashej ne malen'koj seti. > > ne proshlo i nedeli kak vsplyla cisco s rekomendatsiej > *nemedlenno* upgradit'sya na sled. versiyu. > > my, estestvenno, stali nedoumevat': da vy chto, okhreneli? > my zh tol'ko chto upgrade zakonchili. > > oni togda priznalis', chto obnaruzhili v IOS *takoj* bug, o > kotorom skazat' ne mogut, no esli ne > > khotim nepriyatnostej na popu, to nado upgradit'sya. :D > > security шантаж называется ;_) > > > segodnya vecherom oni ego taki opublikovali: > > http://www.cisco.com/warp/public/707/cisco-sa-20030717-blocked.shtml > > я так понимаю, что дырка только в CPU-routed траффике дл > я самого роутера? > то есть если траффик транзитный или его обрабатывает кар > та (как там оно называется в циске... hardware-switched, > что ли?) то это неактуально? К примеру, туннели на cisco process-switched ... > > primechatel'no to, chto oni rekomendujut ACLs as > workaround, kotorye na nekotorykh platformakh > > prosto protivopokazany. > > типа закрыть на вход все пакеты для management адресов, > или поставить входной ACL на самих роутерах? > а что тут такого? > а вообще - хороший повод купить новое железо 36xx серии ;) > > о, еще один workaround, не упомянутый cisco - не включат > ь ipv4 на самих роутерах, оставить только ipv6... http://www.cisco.com/warp/public/707/cisco-sa-20030717-blocked.shtml Summary Cisco routers and switches running Cisco IOSR software and configured to process Internet Protocol version 4 (IPv4) packets are vulnerable to a Denial of Service (DoS) attack. A rare sequence of crafted IPv4 packets sent directly to the device may cause the input interface to stop processing traffic once the input queue is full. No authentication is required to process the inbound packet. Processing of IPv4 packets is enabled by default. Devices running only IP version 6 (IPv6) are not affected. ~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~ A workaround is available. > интересно, работает ли у них tftp и rshell через ipv6? А у кого BGP в канале на провайдера, тем чего делать? :) =================================================================== uanog mailing list. To Unsubscribe: send mail to majordomo(a)uanog.kiev.ua with "unsubscribe uanog" in the body of the message

2 1

� �� ...
by Dmitry Aksyonov 17 Jul '03

17 Jul '03

hi, в продолжение сегоднешнего вопроса про АВРы :) а кто оными большими занимается нормально? -- Dmitry Aksyonov mailto:dimka@ints.net +380-62-3340343 2:465/11@fidonet =================================================================== uanog mailing list. To Unsubscribe: send mail to majordomo(a)uanog.kiev.ua with "unsubscribe uanog" in the body of the message

2 1

RE: bind Q
by Sergei Podnos 16 Jul '03

16 Jul '03

У меня работает вот так без претензий BIND 9.1.х, заодно позволяет внутреннюю и внешнюю сетку держать в одной зоне и не показывать на улицу fake ip. view "internal" { match-clients { xxx.xxx.xxx.xxx/xx; .... Yyy.yyy.yyy.yyy/yy }; recursion yes; ... zone "sample.com.ua" { ..... }; }; view "external" { match-clients { any; }; recursion no; zone "sample.com.ua" { ..... }; }; Сергей -----Original Message----- From: Alexander Yeremenko [mailto:ay@sita.kiev.ua] Sent: Friday, July 11, 2003 11:17 AM To: uanog(a)uanog.kiev.ua Subject: [uanog] bind Q Есть вот тазик. На нем стоит nserver. Создает аномальный траффик. За каким-то фигом разные zuka. постоянно спрашивают у него, как пройти на buka. , хотя ни zuka ни buka не имеют к тазику и его сетке никакого отношения. Есдь два вопроса : Один философский : откуда эти диверсанты узнали, что вааще есть такой ns, и с чего они решили, что спрашивать, как пройти на microsoft.com надо именно у меня :) Второй - практический : а как бы это прописать, чтобы allow-query для всех, кроме trusted nets, было открыто только на запросы про сетку тазика, а прочие запросы про посторонние адреса тихо дропались и не дергали моих forwarders ? -- AY7-UANIC || AY15-RIPE =================================================================== uanog mailing list. To Unsubscribe: send mail to majordomo(a)uanog.kiev.ua with "unsubscribe uanog" in the body of the message =================================================================== uanog mailing list. To Unsubscribe: send mail to majordomo(a)uanog.kiev.ua with "unsubscribe uanog" in the body of the message

2 1

Lucent Cajun P334T
by Maxim Tulyuk 15 Jul '03

15 Jul '03

Субж при загрузке постоянно ребутится - есть подозрение, что аппаратные проблемы; есть ли в Киеве сервис-центр или умельцы, способные помочь? -- Maxim Tulyuk WWW: http://www.primats.org.ua/~mt/ ICQ: 21134222 The bike is absolute freedom of moving =================================================================== uanog mailing list. To Unsubscribe: send mail to majordomo(a)uanog.kiev.ua with "unsubscribe uanog" in the body of the message

1 0

smtp/netstat ....
by Alexander Yeremenko 14 Jul '03

14 Jul '03

Интересно, что должно в лесу сдохнуть, чтобы вместо *.smtp *.* LISTEN осталось только localhost.smtp *.* LISTEN -- AY7-UANIC || AY15-RIPE =================================================================== uanog mailing list. To Unsubscribe: send mail to majordomo(a)uanog.kiev.ua with "unsubscribe uanog" in the body of the message

6 7

imap-wu Q
by Alexander Yeremenko 14 Jul '03

14 Jul '03

telnet localhost pop3 ............ user ay -ERR Unknown AUTHORIZATION state command В pam.conf прописано pop3 auth required pam_unix.so try_first_pass other auth required pam_unix.so try_first_pass Чего еще ? -- AY7-UANIC || AY15-RIPE =================================================================== uanog mailing list. To Unsubscribe: send mail to majordomo(a)uanog.kiev.ua with "unsubscribe uanog" in the body of the message

5 6

freebsd perl 5.8
by Yaroslav Halchinsky 11 Jul '03

11 Jul '03

Hello, Хочется получить threaded perl на freebsd. На freebsd 4.8 perl 5.8 собирается, но не проходит тестов (получает замаскированый SIGINT), на 5.1 он даже не собирается - miniperl выдает "Out of memory", как с родным gcc, так и с gcc33 из портов. У кого-то есть идеи или положительный опыт? -- Regards, Yaroslav Halchinsky =================================================================== uanog mailing list. To Unsubscribe: send mail to majordomo(a)uanog.kiev.ua with "unsubscribe uanog" in the body of the message

1 0

bind Q
by Alexander Yeremenko 11 Jul '03

11 Jul '03

Есть вот тазик. На нем стоит nserver. Создает аномальный траффик. За каким-то фигом разные zuka. постоянно спрашивают у него, как пройти на buka. , хотя ни zuka ни buka не имеют к тазику и его сетке никакого отношения. Есдь два вопроса : Один философский : откуда эти диверсанты узнали, что вааще есть такой ns, и с чего они решили, что спрашивать, как пройти на microsoft.com надо именно у меня :) Второй - практический : а как бы это прописать, чтобы allow-query для всех, кроме trusted nets, было открыто только на запросы про сетку тазика, а прочие запросы про посторонние адреса тихо дропались и не дергали моих forwarders ? -- AY7-UANIC || AY15-RIPE =================================================================== uanog mailing list. To Unsubscribe: send mail to majordomo(a)uanog.kiev.ua with "unsubscribe uanog" in the body of the message

4 6

RE: [uanog] Оптимизатор списа сетей нужен
by Andriashevich Alexander 11 Jul '03

11 Jul '03

> Есть куча сетей /24 /23, которые можно агрегатировать в более > крупные сети, так вот, есть ли уже готовое решение, позволяющее > это сделать ? Гы, не поверите :) /usr/ports/net/aggregate -- Alexander Andriashevich <gash(a)goldentele.com> GASH1-RIPE =================================================================== uanog mailing list. To Unsubscribe: send mail to majordomo(a)uanog.kiev.ua with "unsubscribe uanog" in the body of the message

5 4

Оптимизатор списа сетей нужен
by vladimir.sharun＠ukr.net 11 Jul '03

11 Jul '03

Есть куча сетей /24 /23, которые можно агрегатировать в более крупные сети, так вот, есть ли уже готовое решение, позволяющее это сделать ? -- VVS56-RIPE =================================================================== uanog mailing list. To Unsubscribe: send mail to majordomo(a)uanog.kiev.ua with "unsubscribe uanog" in the body of the message

2 1