Cisco: Update-Rundumschlag für zahlreiche Produkte
Auf Ciscos Patch-Liste standen diesmal in erster Linie IP-Telefone und Netzwerk-Switches. Die gefixten Lücken dürften manchem Admin bereits bekannt vorkommen.
Cisco hat Security Advisories zu insgesamt zehn Sicherheitslücken veröffentlicht. Fünf der durchweg mit dem Risikofaktor "High" bewerteten Lücken betreffen IP-Telefone der 7800er-, 8800er- und 9000er-Serie. Die übrigen stecken im herstellereigenen Netzwerk-Betriebssystem NX-OS, was zur Sicherheitsanfälligkeit NX-OS-basierter Geräte führt. Das sind vor allem Nexus-Switches, aber auch einige UCS Fabric Extender/Interconnects, "Firepower"-Firewalls und weitere Netzwerkkomponenten.
Altbekannte Baustellen
Die Schwachstellen in den IP-Telefonen befinden sich allesamt im webbasierten Management-Interface der Session Initiation Protocol (SIP)-Software. Sie sind durchweg aus der Ferne ausnutzbar und können Angreifern unter anderem Denial-of-Service (DoS)-Attacken und die Ausführung beliebigen Codes ermöglichen. Wieder einmal basiert eine der Lücken auf einem standardmäßig aktiven Account [1] mit Default-Passwort. Bei Cisco wurde genau dieses Problem bereits im Februar [2] sowie in der vergangenen Woche [3] in Sicherheitshinweisen thematisiert. Für SIP-Schwachstellen gilt ähnliches.
Im Gegensatz zu den IP-Telefon-Lücken ist von den fünf NX-OS-Lücken nur eine aus der Ferne ausnutzbar [4]. Die genannten Angriffsmöglichkeiten (DoS, Remote Code Execution) sind ähnlich – der Déjà-vu-Effekt in Bezug auf erst kürzlich veröffentlichte Cisco-Sicherheitshinweise [5] auch.
Updates verfügbar
Für alle zehn Sicherheitslücken stehen Updates bereit, die Admins zügig einspielen sollten. Details zu den betroffenen Geräten und den notwendigen Aktualisierungsschritten sind den Sicherheitshinweisen zu entnehmen:
- IP Phone 8800 Series Path Traversal Vulnerability [6]
- IP Phone 8800 Series File Upload Denial of Service Vulnerability [7]
- IP Phone 8800 Series Authorization Bypass Vulnerability [8]
- IP Phone 7800 Series and 8800 Series Remote Code Execution Vulnerability [9]
- IP Phone 8800 Series Cross-Site Request Forgery Vulnerability [10]
- Nexus 9000 Series Fabric Switches Application Centric Infrastructure Mode Shell Escape Vulnerability [11]
- NX-OS Software Unauthorized Filesystem Access Vulnerability [12]
- NX-OS Software Cisco Fabric Services Denial of Service Vulnerability [13]
- NX-OS Software Image Signature Verification Vulnerability [14]
- NX-OS Software CLI Command Injection Vulnerability [15]
(ovw [16])
URL dieses Artikels:
https://www.heise.de/-4341463
Links in diesem Artikel:
[1] https://tools.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-20190320-ipptv
[2] https://www.heise.de/news/Sicherheitsupdate-Cisco-Network-Assurance-Engine-mit-Standardpasswort-4308840.html
[3] https://www.heise.de/news/Jetzt-updaten-Cisco-patcht-gegen-eine-von-zwei-Remote-Attacken-4335459.html
[4] https://tools.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-20190306-nxos-fabric-dos
[5] https://www.heise.de/news/Cisco-Updates-Angreifer-koennten-als-Root-Firewalls-und-Switches-uebernehmen-4328233.html
[6] https://tools.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-20190320-ipptv
[7] https://tools.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-20190320-ipfudos
[8] https://tools.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-20190320-ipab
[9] https://tools.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-20190320-ip-phone-rce
[10] https://tools.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-20190320-ip-phone-csrf
[11] https://tools.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-20190306-aci-shell-escape
[12] https://tools.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-20190306-nxos-file-access
[13] https://tools.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-20190306-nxos-fabric-dos
[14] https://tools.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-20190306-nxos-sig-verif
[15] https://tools.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-20190306-nxos-cmdinj-1613
[16] mailto:olivia.von.westernhagen@gmail.com
Copyright © 2019 Heise Medien