CVE-2016-1287 — 神龙十问 AI 深度分析摘要

🚨 **本质**：Cisco ASA 防火墙的 IKEv1/v2 实现存在**缓冲区溢出**。 💥 **后果**：远程攻击者发送特制 UDP 包，可导致**任意代码执行**或**拒绝服务**（设备重载/崩溃）。

🔍 **缺陷点**：**缓冲区溢出**（Buffer Overflow）。 ⚠️ **CWE**：数据中未提供具体 CWE ID，但核心是**无效片段长度**处理不当（如 1 字节的非法长度）。

🛡️ **受影响产品**： - **Cisco ASA 5500** 系列 - **ASA 5500-X** 系列 - **ASA Services Module** 📅 **发布时间**：2016-02-11

💀 **黑客权限**： - **RCE**：执行任意代码，完全控制设备。 - **DoS**：导致防火墙重载，业务中断。 📂 **数据风险**：设备沦陷意味着内网边界失效，数据泄露风险极高。

🔓 **利用门槛**：**低**。 - **无需认证**：远程攻击。 - **无需配置**：利用 IKE 协议交互过程。 - **攻击向量**：发送特制 **UDP 数据包**即可触发。

💣 **现成 Exp**：**有**。 - **PoC 1**：`killasa` (GitHub)，利用无效 IKE 片段长度。 - **PoC 2**：`asa_tools` (NetSPI)，Python 脚本验证漏洞。 - **Exp-DB**：编号 39823 可利用。

🔎 **自查方法**： 1. 使用 **Python 脚本** (如 NetSPI 工具) 发送测试包。 2. 观察设备是否**重载**或响应异常。 3. 检查日志中是否有 IKE 协商失败的**缓冲区错误**记录。

🛠️ **官方修复**：**已发布**。 - **厂商**：Cisco。 - **公告**：Cisco Security Advisory (20160210)。 - **措施**：升级 ASA 软件至修复版本。

🚧 **临时规避**： - **限制访问**：仅允许可信 IP 访问 IKE 端口 (UDP 500/4500)。 - **WAF/IPS**：部署入侵防御系统，拦截特制 IKE 碎片包。 - **监控**：密切监控设备稳定性及 IKE 连接日志。

🔥 **优先级**：**极高 (Critical)**。 - **远程无认证**利用。 - **后果严重** (RCE/DoS)。 - **已有公开 PoC**。 👉 **建议**：立即评估受影响设备，尽快打补丁！