Sicherheitsupdates: Kritische Root-Lücken in Cisco FXOS und NX-OS
Neben wichtigen Sicherheitspatches für Ciscos Netzwerk-Betriebssystem NX-OS hat das Unternehmen weitere Updates für Software und Switches veröffentlicht.
In Ciscos Netzwerk- und Firewall-Betriebssystemen FXOS und NX-OS klaffen zum Teil äußerst gefährliche Sicherheitslücken. Den Großteil der Schwachstellen könnten Angreifer mit vergleichsweise wenig Aufwand ausnutzen, um Schadcode auf Geräte zu schieben und auszuführen. Klappt das, übernimmt ein Eindringling in der Regel die volle Kontrolle.
Fünf der OS-Lücken gelten als "kritisch". 16 sind mit dem Bedrohungsgrad "hoch" eingestuft. Den kritischen Schwachstellen liegt eine mangelnde Überprüfung von verschiedenen Anfragen zugrunde. So könnte ein Angreifer beispielsweise aus der Ferne ohne Anmeldung präparierte HTTP- oder HTTPS-Pakete an ein Gerät mit NX-OS schicken, um einen Speicherfehler auszulösen. Klappt das, steht der Ausführung von Schadcode mit Root-Rechten nichts mehr im Wege, führt Cisco aus.
Bei den vier weiteren kritischen Lücken sollen sich Angriffe über die Zusendung von manipulierten Cisco-Fabric-Services-Paketen einleiten lassen. Letztlich endet das auch in Remote Code Execution oder dem Ausknipsen von Geräten via DoS-Attacke.
Weitere Sicherheitslücken
Die Schwachstellen mit der Risikobewertung "hoch" könnten ebenfalls für Schadcode- und DoS-Angriffe missbraucht werden. Auch Cisco-Switches der Nexus-Serien 3000, 4000 und 9000 sind für DoS-Attacken anfällig.
Darüber hinaus gibt es noch Sicherheitspatches für Meeting Server, Secure Mobility Client und Unified Communications Manager,
Liste nach Bedrohungsgrad absteigend sortiert:
- NX-OS Software NX-API Arbitrary Code Execution
- FXOS and NX-OS Software Cisco Fabric Services Arbitrary Code Execution
- FXOS and NX-OS Software Cisco Fabric Services Arbitrary Code Execution
- FXOS and NX-OS Software Cisco Fabric Services Arbitrary Code Execution
- FXOS and NX-OS Software Cisco Fabric Services Arbitrary Code Execution
- NX-OS Software Role-Based Access Control Elevated Privileges
- NX-OS Software Internet Group Management Protocol Snooping Remote Code Execution and Denial of Service
- NX-OS Software NX-API Privilege Escalation
- NX-OS Software NX-API Arbitrary Command Execution
- NX-OS Software Border Gateway Protocol Denial of Service
- FXOS and NX-OS Software Cisco Fabric Services Denial of Service
- FXOS and NX-OS Software Cisco Fabric Services Denial of Service
- FXOS and NX-OS Software Cisco Fabric Services Denial of Service
- FXOS Software and UCS Fabric Interconnect Web UI Denial of Service
- NX-OS Software CLI Arbitrary Command Injection
- NX-OS Software CLI Arbitrary Command Execution
- FXOS Software and UCS Fabric Interconnect Arbitrary Code
- Nexus 4000 Series Switch Simple Network Management Protocol Polling Denial of Service
- Nexus 3000 and 9000 Series CLI and Simple Network Management Protocol Polling Denial of Service
- NX-OS Software Authenticated Simple Network Management Protocol Denial of Service
- FXOS and NX-OS Software Cisco Discovery Protocol Arbitrary Code Execution
- FXOS, NX-OS, and UCS Manager Software Cisco Discovery Protocol Denial of Service
- Firepower 4100 Series Next-Generation Firewall and Firepower 9300 Security Appliance Path Traversal
- NVIDIA TX1 Boot ROM
- NX-OS Software Role-Based Access Arbitrary Command Execution
- AnyConnect Secure Mobility Client for Windows Desktop Denial of Service
- Meeting Server Web Admin Interface Denial of Service
- FXOS and NX-OS Software Unauthorized Administrator Account
- TelePresence Video Communication Server Expressway Denial of Service
- Unified Communications Manager IM & Presence Service CSRF
- Unified Communications Domain Manager Cross-Site Request Forgery
- Firepower Management Center Cross-Site Request Forgery
- 5000 Series Enterprise Network Compute System and Cisco UCS E-Series Servers BIOS Authentication Bypass
- Meeting Server Session Fixation
(des)
