Résumé

  • Cisco présente IOS XR 26.2.2 et 26.3.1 comme les premières versions intégrant les corrections de son avis de renforcement de sécurité. La révision du 11 septembre porte sur leur disponibilité.
  • Obtenir le logiciel, choisir les paquets applicables et valider leur déploiement sont trois résultats distincts. La gratuité éventuelle du premier ne finance pas nécessairement les deux autres.

Sur un devis de maintenance, la ligne consacrée au logiciel peut être nulle alors que le travail reste conséquent. C'est sous cet angle que les opérateurs télécoms peuvent lire la dernière révision de l'avis de sécurité IOS XR de Cisco. L'arrivée de versions intégrant les corrections ne supprime pas l'arbitrage opérationnel : elle en modifie les termes.

La version 2.0 de l'avis officiel, datée du 11 septembre, actualise la disponibilité d'IOS XR 26.2.2 et 26.3.1. Cisco les désigne comme les premières versions corrigées pour les vulnérabilités décrites. L'avis initial remonte au 2 septembre. Il ne s'agit donc ni d'une première divulgation le 11 septembre, ni de l'annonce d'une attaque observée ce jour-là.

L'alternative dépend du parc installé. Une version complète peut rassembler les corrections, mais il faut vérifier qu'elle convient aux équipements et aux configurations en service. Des Software Maintenance Updates, ou SMU, peuvent permettre de traiter les problèmes au sein d'une branche précise. Cette voie conserve, elle, un travail de sélection des paquets et de vérification de leur applicabilité. Les deux parcours ont des coûts de préparation différents ; les sources ne donnent pas de prix permettant de déclarer l'un systématiquement moins cher.

Parcours Travail potentiellement simplifié Travail qui demeure
Version intégrant les corrections Rassembler les corrections de l'avis Qualifier la version sur le matériel et la configuration réellement utilisés
SMU applicables Intervenir dans une branche déterminée Choisir les bons paquets et établir leur effet à l'installation

Le tableau de Cisco mêle des SMU disponibles et d'autres annoncés pour une publication future. Il comporte aussi des restrictions propres aux plateformes optiques et des exceptions par fonction. La mention d'environ 16 SMU possibles par version n'est pas une liste universelle de 16 paquets à installer partout. Pour juger l'avancement, le nombre de fichiers reçus est moins utile que le nombre d'installations dont l'état corrigé a été effectivement établi.

La lecture des vulnérabilités exige la même précision. Cisco a réuni plusieurs défauts découverts en interne par classe de faiblesse, puis attribué un identifiant CVE à chaque groupe. Les sept identifiants ne constituent donc pas un décompte démontré de sept défauts individuels. Le score de gravité d'un groupe correspond à sa vulnérabilité sous-jacente la plus sévère. Transformer ce dispositif en un simple compteur peut masquer une partie du travail d'analyse.

Le guide général des SMU de Cisco explique que les correctifs dépendent de la version, du composant et de la plateforme. Leur fichier README précise le type de redémarrage et l'impact de l'installation. Un redémarrage de processus n'est pas, par définition, sans perte de trafic ; les possibilités de mise à niveau en service dépendent des équipements et du système. Ce guide ne permet pas de certifier le comportement de chaque paquet de septembre sans consulter sa documentation propre.

Cisco maintient par ailleurs les conditions de validité des licences. L'avis indique une démarche auprès du TAC pour certains clients pouvant bénéficier d'une mise à niveau gratuite, notamment sans contrat de service Cisco. Ce n'est pas une autorisation générale de téléchargement. Et un droit au logiciel ne fournit ni une équipe disponible, ni un environnement d'essai, ni la capacité nécessaire à une intervention.

L'entreprise dit avoir découvert les problèmes lors de contrôles internes et ne pas avoir connaissance d'une exploitation active. Cette information doit rester attribuée à Cisco : elle ne prouve pas l'absence de risque. L'avis indique aussi qu'aucune solution de contournement ne corrige ces vulnérabilités. Le sujet économique n'est donc pas de remplacer la correction par un exercice budgétaire, mais de rendre visible le travail nécessaire pour l'appliquer.

Aucune facture d'opérateur ni aucun résultat de déploiement n'est fourni. Le changement établi est la disponibilité de versions corrigées. Son effet sur le coût total dépendra de l'hétérogénéité du parc et du périmètre réellement couvert par les contrats de maintenance.