Comment savoir si une version Cisco IOS XE est touchée par une CVE
Pour savoir si une version Cisco IOS XE est touchée par une CVE, il faut rapprocher la version exacte des versions concernées dans les avis de sécurité Cisco, puis lire la section des produits vulnérables de chaque avis, car beaucoup ne s'appliquent que si une fonction est configurée. NacTrack fait la première moitié pour toutes les versions du parc à la fois et liste les constats par équipement, avec la première version corrigée. La seconde moitié, les conditions de configuration, reste à votre charge.
Ce qu'il vous faut
- Module requis : compliance.
- Permission requise : view_audit.
- Équipements dont la version logicielle a été collectée ; les constats viennent de la synchronisation CVE avec l'autorité NacTrack.
Dans NacTrack
- 1
Ouvrir Sécurité, puis Vulnérabilités CVE
La page s'ouvre sur des totaux : constats, vulnérabilités activement exploitées (KEV), critiques, hautes, et équipements touchés. Le tableau Par équipement classe les équipements par exposition, avec le CVSS le plus élevé et le nombre de CVE de chacun.
Écran : app.nactrack.com/compliance/vulnerabilities
- 2
Chercher la version dans Tous les constats
Tous les constats affiche une ligne par équipement et par CVE, avec le logiciel et sa version, le CVSS, l'EPSS, l'indicateur KEV, la version Corrigé dans et un lien vers l'avis du fournisseur. Cherchez par CVE, par hôte ou par mot-clé, filtrez par gravité, ou cochez KEV uniquement.
Écran : app.nactrack.com/compliance/vulnerabilities
- 3
Ouvrir l'avis et lire ses conditions
Suivez le lien vers l'avis du fournisseur et lisez la section Vulnerable Products. Si l'avis ne s'applique que lorsqu'une fonction est activée, vérifiez cette fonction dans la configuration de l'équipement avant de traiter le constat comme une exposition.
Écran : app.nactrack.com/compliance/vulnerabilities
À la main, sans NacTrack
Le Cisco Software Checker accepte une ou plusieurs versions, un fichier texte de versions, ou la sortie de « show version », et renvoie les avis qui touchent chaque version avec la première version corrigée. Par défaut, il ne retient que les avis de gravité Critical ou High ; cochez Medium pour voir les autres.
Lisez ensuite les conditions. Par exemple, l'avis sur CVE-2023-20198 et CVE-2023-20273 indique qu'elles ne touchent IOS XE que si l'interface web est activée, par « ip http server » ou « ip http secure-server », et donne « show running-config | include ip http server|secure|active » pour le vérifier.
Ce que cette vue ne dit pas
- Le rapprochement porte sur la seule chaîne de version. Les conditions de configuration ne sont pas évaluées, et les SMU ou autres correctifs appliqués sur une version ne sont pas pris en compte : un équipement corrigé affiche encore les constats de sa version de base.
- Les constats arrivent par une synchronisation quotidienne avec l'autorité NacTrack, qui ne reçoit que le constructeur, l'OS, la version et un nombre d'équipements, jamais un nom d'hôte. Si une synchronisation échoue, la page le dit et affiche les constats du dernier passage réussi. Un équipement sans version collectée n'a aucune donnée CVE.
- Corrigé dans est affiché tel que la source le donne, sans interprétation. Les constats ne s'exportent pas en CSV ; le rapport CVE de la section Rapports est un PDF.
Pour aller plus loin
Vulnérabilités des équipements réseau : CVE par version
Quels équipements une vulnérabilité publiée peut atteindre, rapprochée de la version logicielle exacte de chacun, avec sa gravité et la version corrective.
Guide pratiqueComment connaître la date de fin de support d'un switch Cisco Catalyst 2960
Dates de fin de support des Catalyst 2960, 2960-S, 2960-Plus, 2960-X et 2960-XR, lues dans les avis Cisco, et comment vérifier vos propres modèles.
Guide pratiqueComment auditer le durcissement de ses switchs : la liste de contrôle
La liste de contrôle du durcissement des switchs par plan, d'après le guide Cisco, et sa vérification sur chaque configuration collectée, preuve à l'appui.