Sicherheitsupdates: Kritische Lücken in Cisco IOS und Prime
In verschiedenen Netzwerkgeräten und -Software von Cisco klaffen teils kritische Lücken. Betroffene Admins sollten die verfügbaren Patches zügig installieren.
Der Netzwerkausrüster Cisco hat wichtige Sicherheitsupdates für verschiedene Produkte aus seinem Portfolio veröffentlicht. Davon sind zwei Lücken mit dem Bedrohungsgrad "kritisch", elf mit "hoch" und 18 mit "mittel" eingestuft.
Eine kritische Schwachstelle klafft in IOS XE Software im Authentication, Authorization und Accounting (AAA) Security Service. Ein Angreifer könnte bei der Verarbeitung eines Nutzernamens dazwischengrätschen, ein System zum Absturz bringen (DoS) oder sogar Schadcode ausführen.
Die zweite kritische Lücke findet sich in Prime Collaboration Provisioning (PCP). Nutzt ein Angreifer diese aus, soll er aus der Ferne ohne Anmeldung auf das Java-Remote-Invocation-System zugreifen können. Anschließend könne er Einstellungen an PCP und daran hängenden Geräten vornehmen, warnt Cisco. Einstiegspunkt für den Angriff ist ein offener Port in der Network Interface and Configuration Engine.
Weitere Sicherheitslücken
Schwachstellen mit dem Bedrohungsgrad "hoch" klaffen unter anderem ebenfalls in PCP, diversen IP-Telefonen und Meeting Server. Setzen Angreifer an diesen Schwachstellen an, können sie beispielsweise Passwörter zurücksetzen, Geräte lahmlegen und Informationen abziehen.
Mit "mittel" eingestufte Lücken machen zum Beispiel Unified Communications Manager und WebEx angreifbar. Hier sind vor allem XSS-Angriffe möglich.
Liste nach Bedrohungsgrad absteigend sortiert:
- Cisco Prime Collaboration Provisioning Unauthenticated Remote Method Invocation
- IOS XE Software Authentication, Authorization, and Accounting Login Authentication Remote Code Execution
- Prime Collaboration Provisioning Access Control Bypass
- Prime Collaboration Provisioning Access Control
- Adaptive Security Appliance Web Services Denial of Service
- Cisco Products Disk Utilization Denial of Service
- Network Services Orchestrator Arbitrary Command Execution
- Prime Collaboration Provisioning SQL Injection
- Web Security Appliance Layer 4 Traffic Monitor Security Bypass
- Prime Collaboration Provisioning Unauthorized Password Reset
- Prime Collaboration Provisioning Unauthorized Password Recovery
- IP Phone 6800, 7800, and 8800 Series with Multiplatform Firmware Session Initiation Protocol Denial of Service
- Meeting Server Information Disclosure
- Wide Area Application Services Software Disk Check Tool Privilege Escalation
- Unified Computing System Role-Based Access
- WebEx Cross-Site Scripting
- Unity Connection Cross-Site Scripting
- WebEx Cross-Site Scripting
- Unified IP Phone Software Denial of Service
- Prime Collaboration Provisioning Access Control Deficiency in Batch Function Privilege Escalation
- Wide Area Application Services Software Static SNMP Credentials
- Identity Services Engine Cross-Site Scripting
- Unified Communications Manager Cross-Frame Scripting
- Collaboration Provisioning Cleartext Passwords Written to World-Readable File
- Integrated Management Controller Supervisor and Cisco UCS Director DOM Stored Cross-Site Scripting
- Unified Communications Manager Cross-Site Scripting
- FireSIGHT System VPN Policy Bypass
- AnyConnect Secure Mobility Client Certificate Bypass
(des)
