CVE-2018-0155

Falha de negação de serviço na implementação de offload de BFD (Bidirectional Forwarding Detection) dos switches Cisco Catalyst 4500 e 4500-X: um pacote BFD com cabeçalho incompleto derruba o processo iosd e provoca reload do equipamento. É pré-condicionada a ter o recurso BFD habilitado, o que só ocorre com licença IP Base ou superior — dispositivos com licença LAN Base não são afetados porque nem suportam BFD. Está no catálogo KEV da CISA, com exploração confirmada, embora adicionada ao catálogo quatro anos depois da publicação original (2022 vs. 2018).

A causa raiz é CWE-388 (tratamento de erro insuficiente / '7PK Errors'), não um overflow clássico: o parser de pacotes BFD no offload do supervisor não valida adequadamente o tamanho/integridade do cabeçalho antes de processá-lo. Quando recebe um pacote BFD com header incompleto, o código de tratamento de erro falha, e essa falha se propaga até o processo iosd — o processo principal que roda a maior parte do IOS/IOS XE em modo software nesses switches, acima do plano de encaminhamento em hardware.

O atacante controla integralmente o conteúdo do pacote BFD malformado; não precisa autenticar-se no protocolo nem estabelecer sessão BFD válida previamente, já que o problema está na fase de parsing do header, antes de qualquer verificação de sessão. A advisory da Cisco especifica que o pacote pode ser endereçado diretamente ao switch ou apenas atravessá-lo ('to or across an affected switch'), o que amplia a superfície: não é preciso ser o peer BFD configurado, basta alcançar uma interface na qual o tráfego BFD é processado.

O impacto é estritamente disponibilidade — o vetor CVSS (C:N/I:N/A:H) confirma que não há comprometimento de confidencialidade ou integridade, apenas crash e reload do sistema (mudança de scope 'S:C' porque o efeito ultrapassa o componente vulnerável, afetando o dispositivo como um todo).

Vetor de rede, sem autenticação, sem interação do usuário e com baixa complexidade de ataque (AV:N/AC:L/PR:N/UI:N) — mas isso só é relevante em ambientes onde BFD está de fato habilitado. BFD vem ativo por padrão quando a licença instalada é IP Base ou superior; em imagens com licença LAN Base o recurso simplesmente não existe, e nesse caso o CVE não se aplica. Administradores podem confirmar o estado com 'show running-config | include feature bfd' (saída vazia = BFD habilitado) e o tipo de licença com 'show license feature' ou pelo nome da imagem em 'show version'.

Na prática, o ataque consiste em enviar um pacote BFD malformado (cabeçalho truncado/incompleto) para uma interface do switch onde BFD é processado, ou fazê-lo atravessar o dispositivo. Não é necessário estabelecer uma sessão BFD legítima com o equipamento-alvo antes. O resultado bem-sucedido é o crash do iosd e reload completo do switch, interrompendo todo o tráfego que passa por ele — não apenas as sessões BFD.

O CVE está no catálogo KEV da CISA (adicionado em 03/03/2022, com prazo de correção de 17/03/2022 para agências federais dos EUA), o que indica exploração confirmada in-the-wild, embora sem detalhes públicos sobre campanha, atores ou volume. A CISA não associa a falha a ransomware.

A Cisco declara explicitamente na advisory que não existe workaround para esta vulnerabilidade ('There are no workarounds that address this vulnerability'). A única correção real é atualizar para uma release de IOS ou IOS XE corrigida, listada na seção 'Fixed Software' do advisory oficial — essa tabela específica de versões corrigidas por trem de release não constava no material consultado para esta página; consulte o advisory diretamente para a versão exata aplicável ao seu supervisor (6-E, 6L-E, 7-E, 7L-E, 8-E, 8L-E, 9-E, ou switches 4500-X/4900M/4948E).

Como controle compensatório, quem não pode atualizar imediatamente pode desabilitar o recurso BFD (via comando de configuração de 'feature bfd disable' no contexto da plataforma) se BFD não for usado operacionalmente. Isso elimina a superfície de ataque, mas tem custo real: perde-se a detecção rápida de falha de enlace que o BFD oferece, o que pode degradar o tempo de convergência de protocolos de roteamento que dependem dele para failover.

Não há mitigação via ACL ou filtro de borda documentada pela Cisco — o BFD tipicamente opera entre peers adjacentes na mesma rede, então segmentação e controle de quem pode alcançar as interfaces do switch reduz risco, mas não elimina a vulnerabilidade caso um peer legítimo ou comprometido na mesma rede envie o pacote malformado.

O sinal mais direto é um reload não programado do switch coincidindo com tráfego BFD anômalo — verifique logs de crash do iosd e mensagens de syslog relacionadas a reload inesperado ou 'unexpected reset' em torno do horário do evento. Não há assinatura pública de payload divulgada nem IOC conhecido associado à exploração confirmada pela CISA; a ausência de detalhes técnicos sobre a exploração in-the-wild limita a criação de detecção baseada em conteúdo do pacote — o indicador mais confiável continua sendo o crash do processo e o reload do dispositivo sem causa administrativa correspondente.