Sicherheitsupdates Cisco: Angreifer können sich höhere Rechte erschleichen

close notice

This article is also available in English. It was translated with technical assistance and editorially reviewed before publication.

Don’t show this again.

Der Netzwerkausrüster Cisco schützt mehrere Produkte vor möglichen Attacken. Im schlimmsten Fall können Angreifer als Root-Nutzer auf Systeme zugreifen. Das geht aber nicht ohne Weiteres. Sicherheitspatches stehen zum Download bereit.

Vom Admin zum Root

In den unterhalb dieser Meldung verlinkten Beiträgen finden Admins Hinweise zu den abgesicherten Versionen. Bislang gibt es keine Berichte zu laufenden Attacken. Weil Cisco-Hardware in Unternehmen an zentralen Stellen genutzt wird, sollten Admins das Patchen nicht zu lange herauszögern.

Da die RADIUS-Implementierung in Identity Services Engine defekt ist, können Angreifer an dieser Schwachstelle (CVE-2025-20152 "hoch") für eine DoS-Attacke ansetzen. Das soll ohne Authentifizierung und aus der Ferne funktionieren. Attacken lassen sich über präparierte RADIUS-Anfragen einleiten. Am Ende kommt es zu Neustarts.

Eine Lücke (CVE-2025-20113 "hoch") in Unified Intelligence Center kann dazu führen, dass sich Angreifer höhere Nutzerrechte aneignen können. Im Kontext von Secure Network Analytics Manager können sich Angreifer sogar Root-Rechte verschaffen (CVE-2025-20256 "mittel"). Dafür müssen sie vorher aber schon Admin sein. An dieser Stelle können Angreifer auch Alarme auslösen (CVE-2025-20257 "mittel").

Außerdem können Angreifer Daten in Unified Contact Center Enterprise (CVE-2025-20242 "mittel") manipulieren.

Anfang Mai rüstete Cisco verschiedene Produkte gegen Root- und DoS-Attacken.

Liste nach Bedrohungsgrad absteigend sortiert:

• Identity Services Engine RADIUS
• Unified Intelligence Center
• Secure Network Analytics Manager
• Unified Contact Center Enterprise Cloud Connect Insufficient Access Control
• Secure Network Analytics Manager API
• Webex Services
• Duo Self-Service Portal
• Unified Communications Products
• Identity Services
• Webex Meetings Services

(des)