CVE-2017-6627

Falha de esgotamento de recursos (DoS) no processamento de UDP em Cisco IOS e IOS XE: sockets UDP abertos por certas aplicações internas do IOS ficam ociosos e nunca são fechados, e pacotes UDP destinados à porta 0 acabam entupindo a fila de entrada da interface. Não exige autenticação nem acesso privilegiado — só alcance de rede até uma interface do dispositivo — mas o impacto é negação de serviço pontual (a fila trava ao acumular 250 pacotes), não execução de código nem comprometimento de dados. Está no catálogo KEV da CISA porque a Cisco identificou tentativas adicionais de exploração em campo em março de 2022, cinco anos após a publicação original do CVE.

A causa raiz (CWE-399, gerenciamento impróprio de recursos) está em código de aplicações do próprio Cisco IOS que criam sockets UDP internos e os deixam abertos e ociosos, sem fechá-los quando não são mais necessários. Esse comportamento por si só não é a vulnerabilidade explorável, mas cria a condição de fundo sobre a qual o defeito de processamento de pacotes se manifesta.

O gatilho é o tratamento de pacotes UDP com porta de destino 0. Ao receber esses pacotes, o dispositivo os retém na fila de entrada (input queue) da interface em vez de descartá-los ou processá-los normalmente. A fila continua acumulando esses pacotes até atingir 250 unidades, ponto em que o comportamento de retenção para — ou seja, há um limite interno que evita esgotamento total, mas que já é suficiente para travar (wedge) a fila da interface e degradar ou interromper o processamento de tráfego legítimo nessa interface.

O atacante não controla conteúdo de payload nem consegue escrever/ler memória arbitrária: o único parâmetro relevante que ele manipula é o destino (porta UDP 0) e o volume/repetição do envio até atingir o limiar da fila. Não há elevação de privilégio nem execução de código — o resultado final é estritamente indisponibilidade da interface afetada.

O vetor é remoto e não autenticado: basta enviar pacotes UDP com porta de destino 0 para uma interface do dispositivo Cisco IOS/IOS XE alcançável na rede. Não há pré-requisito de configuração não padrão, VLAN específica ou serviço habilitado adicionalmente — a exposição depende apenas de a interface receber tráfego UDP roteado ou destinado a ela. Isso torna a superfície de ataque ampla em qualquer roteador/switch exposto a redes não confiáveis ou à internet.

A complexidade de exploração é baixa: não exige timing preciso, bypass de proteção de memória nem engenharia reversa de protocolo proprietário — apenas o envio repetido de pacotes UDP malformados quanto à porta. O resultado é a fila de entrada da interface travando (queue wedge), o que pode interromper ou degradar severamente o tráfego processado por aquela interface, configurando negação de serviço.

A Cisco confirmou, na revisão do advisory de dezembro de 2022, que identificou tentativas adicionais de exploração em campo a partir de março de 2022 — motivo da inclusão no catálogo KEV da CISA nessa data, apesar do CVE ter sido publicado em 2017. Não há detalhes públicos sobre escala, alvos ou atribuição dessas tentativas.

A Cisco recomenda atualizar para uma versão corrigida de IOS ou IOS XE, mas o advisory não lista números de versão fixa diretamente — orienta consultar os Cisco Bug IDs (CSCup10024, CSCva55744/CSCva95506, CSCvc96281, CSCve64219) através do Cisco Bug Search Tool para identificar a release corrigida específica da linha de produto e treinamento de código usados. Não assuma uma versão-alvo sem checar o bug ID correspondente ao seu hardware/software.

Há dois paliativos reais quando a atualização não é imediata. Primeiro, configurar um valor de hold-queue de entrada maior que 250 em todas as interfaces do dispositivo (comando de exemplo do próprio advisory: 'hold-queue 350 in'), o que evita que o travamento ocorra no limiar padrão — custo: consumo adicional de memória de buffer, sem impacto funcional relevante em equipamentos com memória suficiente. Segundo, aplicar uma ACL que bloqueie pacotes UDP com porta de destino 0 em todas as interfaces (exemplo do advisory: 'deny udp any any eq 0'), o que neutraliza o vetor de exploração diretamente — custo: nenhum tráfego legítimo depende de porta UDP 0, então o impacto colateral é mínimo, mas a ACL precisa ser mantida e aplicada consistentemente em todas as interfaces expostas.

O mito a evitar: reiniciar o dispositivo ou a interface remove o sintoma momentaneamente, mas não corrige a causa — os sockets ociosos continuam sendo criados pelas aplicações internas do IOS, e o dispositivo volta a ficar vulnerável ao mesmo padrão de tráfego.

Em dispositivos Cisco, sinais de exploração incluem picos de pacotes UDP com porta de destino 0 em captura de tráfego ou em ACLs de log configuradas para esse padrão, e sintomas operacionais como interface(s) reportando fila de entrada cheia ou travada — visível em comandos de diagnóstico de interface e buffer do IOS (contadores de fila de entrada anormalmente altos ou estagnados perto do limite de 250 pacotes) e em perda de conectividade ou lentidão isolada em uma interface sem causa de tráfego legítimo correspondente.

Não há assinatura pública de IDS/IPS documentada nas fontes consultadas nem indicador de comprometimento específico associado às tentativas de exploração reportadas pela Cisco em 2022 — a ausência de detalhes técnicos sobre essas tentativas (origem, volume, ferramentas) é uma lacuna real, não uma omissão desta análise.