Empat kerentanan dalam fitur Ethernet ‘Stacked VLAN’ yang diadopsi secara luas memungkinkan penyerang melakukan serangan denial-of-service (DoS) atau man-in-the-middle (MitM) terhadap target jaringan menggunakan paket yang dibuat khusus.
Stacked VLAN, juga dikenal sebagai VLAN Stacking, adalah fitur di router dan switch modern yang memungkinkan perusahaan untuk merangkum beberapa ID VLAN ke dalam satu koneksi VLAN yang dibagikan dengan penyedia upstream.
Kerentanan mempengaruhi perangkat jaringan seperti switch, router, dan sistem operasi yang menggunakan kontrol keamanan Layer-2 (L2) untuk menyaring lalu lintas untuk isolasi jaringan virtual.
Cisco dan Juniper Networks telah mengkonfirmasi bahwa beberapa produk mereka terpengaruh oleh kekurangan tersebut, tetapi banyak vendor perangkat belum menyelesaikan penyelidikan mereka; maka dampak keseluruhan tetap tidak diketahui.
Kerentanan ada dalam protokol enkapsulasi Ethernet yang memungkinkan penumpukan header Virtual Local Area Network (VLAN).
Penyerang yang berdekatan dan tidak diautentikasi dapat menggunakan kombinasi header VLAN dan LLC/SNAP untuk melewati perlindungan pemfilteran jaringan L2 seperti pelindung RA IPv6, inspeksi ARP dinamis, perlindungan penemuan tetangga IPv6, dan pengintaian DHCP.
Empat kerentanan tersebut adalah:
- CVE-2021-27853 Kemampuan pemfilteran jaringan Layer 2 seperti pelindung IPv6 RA atau inspeksi ARP dapat dilewati menggunakan kombinasi header VLAN 0 dan header LLC/SNAP.
- CVE-2021-27854 Kemampuan pemfilteran jaringan Layer 2 seperti pelindung IPv6 RA dapat dilewati menggunakan kombinasi header VLAN 0, header LLC/SNAP dalam terjemahan bingkai Ethernet ke Wifi, dan kebalikan dari Wifi ke Ethernet.
- CVE-2021-27861 Kemampuan pemfilteran jaringan Layer 2 seperti pelindung RA IPv6 dapat dilewati menggunakan header LLC/SNAP dengan panjang yang tidak valid (dan opsional header VLAN0).
- CVE-2021-27862 Kemampuan pemfilteran jaringan Layer 2 seperti pelindung IPv6 RA dapat dilewati menggunakan header LLC/SNAP dengan panjang yang tidak valid dan konversi frame Ethernet ke Wifi (dan header VLAN0 opsional).
Dengan mengeksploitasi salah satu kelemahan ini secara independen, penyerang dapat menipu perangkat target untuk merutekan lalu lintas ke tujuan yang berubah-ubah.
Yang terakhir adalah skenario yang lebih parah, karena penyerang dapat mengamati lalu lintas jaringan dan mengakses informasi sensitif jika data tidak dienkripsi.
Satu hal yang perlu diperhatikan adalah bahwa dalam produk virtualisasi dan jaringan virtual berbasis cloud modern, kemampuan jaringan L2 melampaui LAN, sehingga paparan kelemahan ini dapat diperluas ke internet.
Juniper Networks mengonfirmasi bahwa CVE-2021-27853 dan CVE-2021-27854 memengaruhi beberapa produknya dan merilis pembaruan keamanan pada 25 Agustus 2022.
Cisco merilis buletin keamanan kemarin yang mengonfirmasi bahwa banyak produk jaringannya terpengaruh oleh CVE-2021-27853 dan CVE-2021-27861.
Produk yang terpengaruh termasuk sakelar, router, dan perangkat lunak, tetapi perbaikan untuk sebagian besar dari mereka tidak akan tersedia sesuai dengan tabel di penasehat.
Semua admin jaringan disarankan untuk memeriksa dan membatasi protokol yang digunakan pada port akses, mengaktifkan semua kontrol keamanan antarmuka yang tersedia, memeriksa dan memblokir iklan router, dan menerapkan pembaruan keamanan vendor segera setelah tersedia.
Sumber: Bleeping Computer
