Cisco beseitigt angebliche DoS-Lücken
Zum halbjährlichen Patchday stellt Cisco neun Updates bereits, die aber allesamt nur Denial-of-Service-Lücken schließen – zumindest nach Ciscos eigener Einschätzung. Und die liegt schon mal daneben.
Acht Sicherheitslücken in Ciscos Router-Betriebssystem Cisco IOS beseitigt der Hersteller mit Updates, die zum fälligen halbjährlichen Patchday veröffentlicht wurden. Eine im Session Initiation Protocol (SIP) betrifft auch den Cisco Unified Communications Manager. Alle Lücken erlauben es nach Ciscos Einschätzung maximal, den betroffenen Dienst lahm zu legen.
Dass Cisco die Gefahren, die von Sicherheitslücken ausgehen, tendenziell eher herunterspielt, hat jedoch Tradition. So erklärt etwa der Sicherheistexperte Felix "FX" Lindner von Recurity Labs, dass die Klassifizierung von Schwachstellen durch Cisco bei Leuten, die sich ernsthaft mit Cisco-IOS-Exploitation beschäftigen, schon als Treppenwitz gilt: "Cisco DoS? LOL"
Der Cisco-Hacker spricht aus Erfahrung: 2007 hatte Cisco eine Lücke im IP-Stack ebenfalls als "Denial of Service" eingestuft -- bis dann FX auf dem 25c3 ein Ping-Paket präsentierte, das bewies, dass man darüber sehr wohl Code einschleusen und ausführen konnte. Konkret schätzt er etwa die BGP-Lücke nach den Informationen aus dem Advisory als durchaus ausnutzbar ein, wenn es sich nicht grade um eine NULL-Pointer-Dereferenz handelt. Derart konkrete, technische Informationen über die Natur einer Schwachstelle liefert Cisco jedoch leider nicht. (ju)
