Cisco heeft meerdere kwetsbaarheden verholpen in Snort 3, de open‑source engine voor intrusion detection en prevention die in allerlei Cisco‑producten draait. Sommige fouten maakten het mogelijk dat een aanvaller met speciaal geprepareerd verkeer de detectie‑engine liet herstarten. Dat onderbreekt de inspectie van netwerkverkeer en kan zo leiden tot een denial‑of‑service. Daarnaast is een fout in het control channel van Snort 3 gerepareerd waarmee een geauthenticeerde lokale gebruiker met lage rechten willekeurige opdrachten kon uitvoeren en in het geheugen van het Snort‑proces kon lezen en schrijven. (sec.cloudapps.cisco.com)

Snort 3 zit onder meer in Cisco Secure Firewall Threat Defense (FTD), Cloud‑delivered Firewall (CDFW), Secure Access (CSA), Meraki MX‑security‑appliances, Cyber Vision en Unified Threat Defense (UTD) op IOS XE. Cisco groepeerde de fixes in een “Snort 3 Security Hardening Release” en geeft aan dat deze problemen intern zijn ontdekt tijdens een uitgebreide security‑review. Voor CDFW en CSA zijn de Snort‑updates al automatisch uitgerold, en voor Meraki‑apparaten zijn verbonden modellen via het Dashboard automatisch bijgewerkt. Cisco benadrukt dat er geen bekende gevallen van misbruik zijn gemeld. (sec.cloudapps.cisco.com)

Wat is er precies gepatcht

• Kwetsbaarheden in verschillende Snort 3‑inspectors en codecs die tot een onverwachte herstart van de engine konden leiden, waaronder:
  • SMTP/MIME‑decoder
  • GRE‑tunneldecapsulatie
  • NetFlow‑detectie
  • Teredo‑detectie
  • VBA‑decompressie
  • Geheugen-/resourceafhandeling (memory exhaustion) (sec.cloudapps.cisco.com)
• Een losstaande kwetsbaarheid in de control channel‑socket van Snort 3 waarmee een lokale gebruiker met lage rechten opdrachten kon uitvoeren als de Snort‑gebruiker. (sec.cloudapps.cisco.com)

Impact en ernst

• De DoS‑kwetsbaarheden krijgen doorgaans een “Medium” score (CVSS 5.3–5.8), omdat ze ‘alleen’ de inspectie onderbreken maar geen code‑uitvoering op afstand toestaan. De control‑channel‑kwetsbaarheid is “High” (CVSS 7.8) vanwege de mogelijkheid tot command execution door een lokale gebruiker. Tegelijkertijd bevat de hardening‑release ook groepen fouten die als “Critical” (CVSS 9.0) zijn geclassificeerd, zoals out‑of‑bounds writes en incorrecte berekeningen. (sec.cloudapps.cisco.com)

Welke producten zijn geraakt

• Open Source Snort 3 zelf, plus Cisco‑producten die het integreren: CDFW, CSA, Meraki MX, Secure Firewall Threat Defense, Cyber Vision en UTD op IOS XE. Snort 2 valt buiten scope (en is end‑of‑life). (sec.cloudapps.cisco.com)

Beschikbare fixes

• Snort 3 is hersteld in versie 3.12.4.0.
• FTD heeft fixes in onder meer 7.0.10, 7.2.12, 7.4.8, 7.6.6, 7.7.13, 10.0.2 en 10.1.0.
• UTD op IOS XE bevat de fix in o.a. 17.12.8, 17.15.6, 17.18.5, 26.1.2 en 26.2.1.
• Voor CDFW/CSA en Meraki is de Snort‑update automatisch uitgerold. Er zijn geen workarounds; updaten is nodig. (sec.cloudapps.cisco.com)

Aanvullende context

• De afzonderlijke advisories beschrijven per component hoe een aanvaller een herstart van de engine kan forceren, bijvoorbeeld met geneste GRE‑tunnels of gemanipuleerde Teredo‑datagrammen. Zulke herstarts betekenen dat er tijdelijk geen pakketinspectie plaatsvindt, wat risico’s oplevert voor detectie en blokkeren van bedreigingen. (sec.cloudapps.cisco.com)
• Voor het control‑channel adviseert Cisco zo snel mogelijk te upgraden; restricties op lokale accounts en strikte host‑toegangscontrole helpen het risico te beperken totdat de fix is toegepast. Cisco meldt geen tekenen van actieve uitbuiting. (sec.cloudapps.cisco.com)
• In Nederland volgt het NCSC de nieuwe CVE’s rond Snort 3; organisaties kunnen die pagina’s gebruiken om eigen risicobeoordelingen en patchbeleid te ondersteunen. (vulnerabilities.ncsc.nl)

Wat moet je nu doen

• Breng in kaart waar Snort 3 draait (FTD, Meraki MX, UTD/IOS XE, CDFW/CSA, Cyber Vision).
• Update naar de eerste vastgestelde veilige release voor jouw productlijn. Verifieer na de upgrade expliciet de Snort‑ en firmwareversie. (sec.cloudapps.cisco.com)
• Controleer logboeken op onverwachte Snort‑restarts of crash‑meldingen, en stel monitoring/alerts in.
• Beperk lokale shell‑toegang op systemen waar Snort 3 draait en herzie accounts/rollen.
• Plan versneld onderhoud voor omgevingen die netwerkinspectie in de keten van kritieke processen hebben (bijv. segmenten met e‑mail, VPN of OT‑verkeer).

Kort samengevat: de fixes dichten DoS‑routes in meerdere Snort‑inspectors en herstellen een lokale privilege‑kwetsbaarheid. Er zijn geen praktische workarounds; patchen is de weg vooruit. Begin bij de hardening‑release en breng je FTD/UTD‑versies en Snort 3‑builds zo snel mogelijk op peil. (sec.cloudapps.cisco.com)

---- ---- ---- ---- ---- ---- ---- ---- ---- ---- ---- ---- ---- ---- ----
Opzoek naar de laatste updates uit onze securitylog?
Inhoud mede mogelijk gemaakt door OpenAI.